hallo @Sam00 wilkommen im Forum 
man kann für eine IP kein valides öffentliche Zertificat ausstellen (von selbserstellten rate ich ab wegen handling).
Ich gluabe du gehtst die Sache von der Falschen Seite an - man muss nicht unterschiedliche Zertificate usw haben - der “Eingang” intern und extern musst gleich sein, sprich dein Client greift intern und extern auf der Reverse Proxy zu nur dass extern der Zugriff zusätzlich über der Router und Prot Forwarding passiert. Schaue dir bitte dieses high-level Artikel dazu an 101: Split-Brain DNS (split-horizon)