letsencrypt два сертификата на одно имя

Не совсем понял ситуацию, но если сделать что-то вроде

server {
    listen 10.0.0.1:443; # internal
    server_name example.com;
}
server {
    listen 8.8.8.8:443; # external
    server_name example.com;
}

и выдать им разные сертификаты, то все должно работать.

нет, типа такого:

server {
    listen 1.1.1.1:443 ssl;

    location / {
        proxy_pass https://$host:443;
    }
}

host резолвится в разные адреса для внутренних и внешних клиентов.

Нжинксу до лампочки, а вот letsencrypt может и не дать. Если не даст, то для внутренних можно свой CA сгенерить. Минута делов.

а, если так, то клиентам вообще без разницы. Они то видят сертификат не для $host, а для 1.1.1.1:443 в таком конфиге.

клиент в nginx ходит, ему плевать, что там дальше за архитектура.