Ну я Вам написал мягко говоря, несколько утрируя.
На самом деле вопрос чуть иначе. На оборудовании, на котором возможна генерация сертификатов, то есть непосредственно на оборудовании VPN не установлены ни apache, ни postfix. Ничего. Оборудование запилино чисто под VPN и ничего больше.
Вопрос не в том, чтобы что-то дописать в биллинге. Вопрос в том, что для того, чтобы сгенерированный сертификат передать клиенту - необходим транспорт. А вот устанавливать на оборудование с VPN дополнительные демоны - открывать, пусть и чисто гипотетически, лишние дыры.
Мы так или иначе решим этот вопрос, но по какому пути мы пойдем - ответить затрудняюсь.
В любом случае спасибо Вам за совет!