Os serviços de DNS dinâmicos atualizam o "registro" do seu domínio, que pode apontar para qualquer endereço IP. Assim, você pode ter qualquer número de domínios, dinâmicos ou não, apontando para o mesmo IP.
Mas você também pode criar aliases para um domínio. Esses são chamados de "registros CNAME". Dessa forma, você só precisa configurar um único domínio IP dinâmico e quantos aliases desejar, que sempre serão resolvidos para o IP dinâmico. Você pode criá-los em qualquer registrador de domínios, às vezes ocultos como "DNS avançado" ou algo semelhante.
O
FreeDNS permite que você crie subdomínios gratuitos nos domínios de outras pessoas - e também compartilhe os seus próprios, se desejar. Ele também fornece atualização dinâmica de IP - embora não haja muitos roteadores para suportá-lo -, por isso é ótimo para servidores de teste / domésticos e quais não são. Eu tenho um subdomínio apontando seu "registro MX" (que é para e-mail) para o mailinator.com, por exemplo, para se registrar em sites irritantes que bloqueiam os próprios aliases do Mailinator (CNAMEs).
Quanto a "manter as coisas separadas", isso será feito usando apenas domínios diferentes. A maioria dos serviços não se incomoda em verificar nada, mas a porta que eles ouvem recebe alguma coisa. O OpenVPN daria a mesma resposta em todos os domínios que apontam para o seu IP (e também no IP bruto, é claro). Os servidores da Web podem responder de maneiras diferentes de acordo com o domínio usado para alcançá-los, para que você possa ter vários sites no mesmo servidor (até milhares deles, como todos os amigáveis Hosts Compartilhados de US $ 5, que gostam de viver no limite); mas eles vão apresentar um site (ou pelo menos uma página de erro) em todos os domínios que apontam para o seu IP.
Provavelmente, seria melhor restringir quem pode se conectar ao que, por exemplo, restringir - em seu firewall - a porta do OpenVPN para atender apenas a um determinado IP; pelo menos com o iptables, você poderia especificar um domínio dinâmico em vez de um IP, mas o iptables iria resolver seu endereço durante a inicialização, então ele pararia de funcionar assim que o endereço mudasse, então você teria que recarregar o iptables regularmente para evitar tempo de inatividade. Ou talvez você queira apenas uma separação estética e não se importe se um invasor encontrar suas portas abertas em qualquer domínio. Mas estou jogando psíquico agora; Você deve fornecer muito mais detalhes sobre o que você quer e por que, para obter uma ajuda melhor.
Felicidades!