Hallo Manuel,
du kannst ja den Rechner, der die Zertifikate holt schon nach DMZ/rot/blau stellen, ich würde halt nicht von dort die Zertifikate verteilen, sondern der server in Grün holt sich die ZErtifikate ab, schaut ob sie neuer sind als die, die er schon hat und verteilt sie wieder.
Ich würde sogar den Server den LE-Prozess anstoßen lassen, also dort den cron-job einrichten.
Aber ein Raspi - weiß nicht, ob das nicht overkill ist… 
VG, Tobias