Ошибка генерации сертификата домен должен быть привязан к ip сервера

Здесь VPS на BrainyCP за 2$ в месяц, а здесь 50GB шаред-хостинг на BrainyCP за 1.9$ в месяц

Спасибо, разобрался, всё получилось. Немогли ли Вы подробнее рассказать про делегирование домена в почтовый сервис, это как? По вашему совету создал поддомен в виде nas.mydomen.ru, теперь mydomen.ru не пингуется, к нему нужно новый белый IP привязывать через А-запись или как?

На примере beget.ru делегирование домена в yandex.ru mail.ru надо начинать с регистрации (для mail.ru это https://biz.mail.ru). Там пошаговая инструкция есть.

В своём случае я указал для домена сервера DNS mail.ru. Это делается в Бегете одной кнопкой, в настройках DNS для доменов. На mail.ru за это тоже написано. Там же есть пошаговая инструкция.

Какая А-запись будет в настройках DNS для домена — дело Ваше, Вы можете указать IP хостера или адрес своего сервера. Все эти настройки можно выполнять совершенно свободно, НЕ ИСПОЛЬЗУЯ платный хостинг или платную почту.

По итогу Вы получаете бесплатный почтовый сервис вида mail.mydomen.ru, с возможностью создавать любые ящики в своём домене. Кол-во бесплатных ящиков, кажется, 1000 для mail.ru. Мы пользуемся подобным на yandex.ru. Это бесплатно, хотя они конечно суют в интерфейс почты рекламу.

При соответствующей настройке A-записи основной домен или его поддомены могут использоваться под сайты, находящиеся где угодно.

Must the client certificate be bind to a specific IP or domains?

No. But how things are handled depends on the PKI you are running. Each PKI can be different.

You can identify a user with the traditional Distinguished Name (DN) from RFC 4511, like Organization (O) and Organizational Unit (OU). Or you can identify them with an alternate name.

Here are the ways you can identify a subject by an alternate name. Its from RFC 5280, Section 4.2.1.6, Subject Alternative Name:

GeneralName ::= CHOICE {
    otherName                       [0]     OtherName,
    rfc822Name                      [1]     IA5String,
    dNSName                         [2]     IA5String,
    x400Address                     [3]     ORAddress,
    directoryName                   [4]     Name,
    ediPartyName                    [5]     EDIPartyName,
    uniformResourceIdentifier       [6]     IA5String,
    iPAddress                       [7]     OCTET STRING,
    registeredID                    [8]     OBJECT IDENTIFIER }

In the above, you are used to using dNSName for server certificates. Client certificates can use rfc822Name, directoryName, otherName and other GeneralName.

What you use depends on your PKI. I believe Microsoft client certificates use otherName and a custom OID. Also see How to encode a username in PKIX certificate on the Information Security Stack Exchange.

You might also want to search for Client Certificate GeneralName and do some reading.

How to generate a client certificate not binding to any IP and domain?

It depends on the tools you are using and your PKI.

At minimum, you are probably going to have to stop using the openssl command line tool without a CONF file because its too limited. You cannot set subject alternate names through command line options. Instead, you are going to have to use a CONF file.

Must the client certificate be bind to a specific IP or domains?

No. But how things are handled depends on the PKI you are running. Each PKI can be different.

You can identify a user with the traditional Distinguished Name (DN) from RFC 4511, like Organization (O) and Organizational Unit (OU). Or you can identify them with an alternate name.

Here are the ways you can identify a subject by an alternate name. Its from RFC 5280, Section 4.2.1.6, Subject Alternative Name:

GeneralName ::= CHOICE {
    otherName                       [0]     OtherName,
    rfc822Name                      [1]     IA5String,
    dNSName                         [2]     IA5String,
    x400Address                     [3]     ORAddress,
    directoryName                   [4]     Name,
    ediPartyName                    [5]     EDIPartyName,
    uniformResourceIdentifier       [6]     IA5String,
    iPAddress                       [7]     OCTET STRING,
    registeredID                    [8]     OBJECT IDENTIFIER }

In the above, you are used to using dNSName for server certificates. Client certificates can use rfc822Name, directoryName, otherName and other GeneralName.

What you use depends on your PKI. I believe Microsoft client certificates use otherName and a custom OID. Also see How to encode a username in PKIX certificate on the Information Security Stack Exchange.

You might also want to search for Client Certificate GeneralName and do some reading.

How to generate a client certificate not binding to any IP and domain?

It depends on the tools you are using and your PKI.

At minimum, you are probably going to have to stop using the openssl command line tool without a CONF file because its too limited. You cannot set subject alternate names through command line options. Instead, you are going to have to use a CONF file.