Hallo Tobias,
ja, ich habe das Thema auch noch nicht ganz durchschaut und ich habe auch kaum Antworten auf deine Fragen, da bei uns z.B. Mails extern laufen, d.h. wir nutzen nicht die LMN dafür.
Wir haben auch noch keine Server in einer DMZ. Bisher sind alle nur intern zu erreichen. Ich habe dazu in unserer Firewall DNS-Overrides angelegt, sodass eine eigentlich externen Domain, intern an eine IP aufgelöst wird (z.B. library.example.com löst nur intern auf, da es diesen DNS Eintrag extern noch nicht gibt). Ob das noch mit Zertifikaten etc. klappt, wenn der Server einmal von außen zu erreichen ist, muss ich noch sehen.
Ich habe eben schön gefrühstückt 
vG