Ben il te faut faire une authorité de certification.

Pour cela, openssl x509 est effectivement ton ami.

Ensuite, tu dois générer des certificate request et signer tes certificats par l'authorité de certification.

Je te suggère d'aller faire un tour du coté de OpenVPN qui intègre des scripts qui permettent de faire ça. Ou alors tu as les frontend du genre OpenCA ou autres ...