Хочу максимально возможно снизить зависимость от сторонних провайдеров сертификатов, проксей, управлялок dns зонами и прочего. Внутри локалки нужно шифрование для нескольких сервисов: nextcloud, vaultwarden, cryptopad, jitsi и веб контент.

Вопрос такой - как это сделать с минимальной головной болью по поводу доверия самоподписанным сертификатам?

Сервисы используются ~10 людьми с разных устройств и ОС (gnu/linux, freebsd, openbsd, android, ios, macos, windows). Все сервисы как таковые (кроме nextcloud talk) умеют работать с самовыпущенными сертами.