Hey,
wenn du ein nicht self-signed SSL Zertifikat möchtest, wirst du da nicht drum rum kommen, aber je nachdem wie du das machst muss der DNS record nicht die öffentliche IP enthalten. Aber nein, PVE braucht weder eine öffentliche IP, noch einen passenden DNS record. Bin mir aber nicht ganz sich, dass ich verstanden habe was genau du meinst. Wo hast du das denn gelesen?