малыш, я, видишь ли, не то что "слышал" про любимую тобой модель osi, но и знаю, что это - попытка отбить бабло за невзлетевшую (совершенно не модельную, а предназначенную для реальной эксплуатации поближе к местам распила госзаказов) сеть, не имеющую ничего общего с интернетом (ну ок, она нам оставила еще isis, лучше бы, правда, не)- продукт кабинетных теоретиков, вчистую проигравших практикам. Над тобой третий день, кстати, ржет башоргру.

примерно такова же ценность всех остальных твоих познаний в предмете. Книжки теоретиков прочитаны, молодец, садись, троечка. На четверочку надо еще понимать, как эти теории работают на практике и работают ли вообще. На пятерку - уметь думать. Например, почему даже если изменить протокол (имеющий аж полторы реально используемых реализации, поэтому особой проблемы бы в этом не было) так, чтобы он позволял пересогласование сертификатов, толку от этого уже никому не будет.

да, 1 ip = 1 сертификат. Возможно - с altnames. Второй на том же ip означает, что мы имеем дело либо с mitm, либо с shared hosting, и все ключи, пароли и сертификаты доступны массе неопознанных людей. Тем и отличаются реальные сети от теоретических. Траффик все еще зашифрованный, что может быть хорошо, а может и не очень, а безопасности уже в помине нет. Но ты спи, спи спокойно, ты ж читал стандарт osi и еще много ненужных букв. cloudflare заботится о твоей безопастности, как можно им не верить.