“richtige” TLS Zertifikate werden immer durch eine CA ausgestellt und diese CA evtl auch eine “intermediate CA” bilden eine “chain of trust”. bekannte public “root CA”`s sind normalerweise integriert und man muss hier nichts selbst machen. ds Problem mit der Chain hat nur mit self-signed/internen CA Zertifikaten - wenn man das nutzt muss man das Thema verstehen - komplett out of scope in diesem Forum.
letsencrypt TLS Zertifikate sind kostenlos, Cloudflare IMO unnötig. tailscale (oder andere VPN Lösungen) machen meiner Meinung nach keinen Sinn wenn du Talk und Collabora einsetzen möchtet - sprich wenn ich nur mit den Nutzern meines VPN chatten und Dokumente bearbeiten kannst was bringt mir das?
ein Reverse Proxy ist wie der andere… wenn du selbst hosten möchtest solltest du die Technologien verstehen und beherrschen, sonst spare dir die Arbeit und buche eine “managed” Nextcloud beim Hoster der Wahl.