>>> openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem
> Можно такой домен сделать

в сертификате нет "доменов", это же x509, from the people who brought you x400. CN такой сделать, полагаю, нельзя. (ну то есть в смысле - можно туда это вписать, но вряд ли браузеры поймут)
Пока еще были живы единичные ренегаты, выдававшие честные CA-signed на ip, они это делали через extension (а CN оставался доменом), и, помнится, перестали именно из-за проблем с распознаванием его новыми-модными openssl.