Você deve usar a mesma autoridade de certificação e garantir que ela esteja protegida (como qualquer um que comprometa, ela poderá emitir certificados para ela e executar um ataque MITM). Você pode considerar colocar uma máquina off-line e usá-la apenas para essa finalidade.
Contanto que seja somente para uso interno, um certificado auto-assinado funcionará bem. Lembre-se de que você precisará instalar o certificado raiz da CA em todos os clientes.
Edit: quanto à questão no título, uma CA nunca representa um único servidor. Representa uma empresa ou um departamento. (Aqui "representa" é usado no significado de "é capaz de entregar certificados para").