Сертификаты, сертификационные центры и прочее прочее прочее...

Что почитать дабы понять как работают все эти сертификаты, центры сертификации

Public key infrastructure on Linux HOWTO.

что-бы потом применять на практике(например делать нормальный openvpn/sstp/https)?

Если для личного пользования, то можно сразу переходить к поиску руководства по использованию сертов Let's Encrypt с нужным сервисом.

Если для личного пользования, то можно сразу переходить к поиску руководства по использованию сертов Let's Encrypt с нужным сервисом.

Ок поищу, не знал что его можно куда-то помимо https пихать. Но меня больше интересует самоподписная инфраструктура с sa и подобным.

ну можешь начать отсюда. https://www.hohnstaedt.de/xca/

ну или ручками в ssl разбираться.

У OpenVPN есть простой туториал как нагенерить сертификатов с помощью easy-rsa

А если не будет openvpn с easy-rsa под рукой?

то можешь воспользоваться easy-rsa без всякого openvpn

Если коротко: самоподписанные сертификаты - бессмысленны. Несамоподписанные сертификаты можно взять, как уже сказали, у Let's Encrypt. Прикрутить можно ко всему что может использовать TLS, в частности: https, smtp, imap, sftp/ftps, openvpn, sstp и т.д.

например у меня mikrotik, там есть встроенный генератор сертификатов, на wiki в принципе все кнопочки расписаны. но без понимания теории для меня эти описания ничего не значат...да в целом можно генерировать через easy-rsa и раскидывать по девайсам, но там ведь и другие процессы есть например отзыв сертификатов и пр.

самоподписанные сертификаты - бессмысленны.

почему бессмысленны? если я сделаю https с самоподписным сертификатом(для своих целей), то смогу им пользоваться, да браузер ругнется, но шифрование ведь никуда не уйдет. ну да может быть mitm, но для таких целей есть cert patrole, который заорет что хеш не совпадает.

Слушай, ты сначала прочти гайд, а потом уже решай насколько он бесполезен.

Если MITM - это для тебя нормально, то почему бы сразу не открытым текстом всё слать? Если тебе исключительно для себя - то да, пойдёт - сам себя добавишь в список доверенных.

Самоподписной серт, на андроиде например, открываться не будет - там есть хранилице доверенных сертов и такой-то гемор добавить что-то еще. Возможно еще где-то есть похожая проблема - будет больше проблем, чем пользы. Let's Encrypt дает бесплатный серт со сроком хранения несколько месяцев, но есть куча мануалов, как автоматизировать обновление серта, например с помощью cron, с таким-то периодом.
Есть ресурс для проверки все ли правильно собрано - https://www.ssllabs.com/ssltest/
Так же есть смысл ознакомиться с тематической страничкой в википедии https://ru.wikipedia.org/wiki/SSL

Самоподписной серт, на андроиде например, открываться не будет - там есть хранилице доверенных сертов и такой-то гемор добавить что-то еще.

Бред. Начиная с 4 версии свой CA добавеляется через меню и без рута.

Да, но тебе придется это делать с каждым телефоном что бы открыть сайт. Это ли не геморрой?