Como usar Vamos criptografar certificados em serviços locais sem expô-los à Internet?

Question

Eu tenho um NAS executando alguns serviços como Plex, NZBGet, Sonarr, Radarr etc. Todos eles aceitam certificados X.509 e HTTPS. Eu também tenho DDNS configurado no meu NAS, então eu tenho um nome de domínio público (digamos que é mydomain.example.me ) resolvendo o endereço IP público do ISP. Também geramos um certificado Let's Encrypt para esse domínio.

Minha topologia de rede é a seguinte:

• Roteador ISP (192.168.1.1/24)
  • ISP ROUTER LAN (192.168.1.33 corrigido) > Meu roteador WAN
    • Meu roteador (192.168.0.1/24)
      • NAS @ 192.168.0.100

Eu só quero VPN (L2TP / IPSec) indo para fora da Internet, nenhum outro serviço deve sair da LAN. Para fazer isso, tenho as seguintes regras:

No roteador do ISP:

Protocol  Rule     Src        Dest
UDP       ALLOW    ANY:1701   My Router:1701
UDP       ALLOW    ANY:500    My Router:500
UDP       ALLOW    ANY:4500   My Router:4500

No meu roteador, configuração de encaminhamento de porta:

Protocol  Rule     Src        Dest
UDP       ALLOW    1701       192.168.0.100:1701
UDP       ALLOW    500        192.168.0.100:500
UDP       ALLOW    4500       192.168.0.100:4500

Essas são as duas regras necessárias para rotear meu tráfego VPN, uma da Internet para o roteador ISP e outra do roteador ISP para meu roteador. Funciona, nada de errado aqui.

Estou usando outra regra para rotear QUALQUER: 443 - > meu roteador e 443 - > 192.168.0.100:6000 (minha interface web NAS). Essa regra é necessária porque eu acesso essa interface usando a URL https://mydomain.example.com , dessa forma, não recebo nenhum erro de certificado. Se eu remover essa regra, não consigo acessar minha interface da Web do NAS por meio de domínio, somente via IP, mas isso, é claro, me fornecerá erros de certificado.

Eu quero ser capaz de configurar o mesmo certificado para todos esses aplicativos, mas quero que eles sejam acessíveis somente dentro da LAN. Como posso fazer isso?