Когда нужно вставить сертификаты прямо в конфиг (например, клиенты мобильных приложений), используем таки конструкции:
<ca>
### Сюда вставляем содержимое ca.crt
</ca>
key-direction 1 # нужна для tls-ключа. если не используется, строка не нужна
<tls-auth>
### Сюда вставляем содержимое ta.key
</tls-auth>
<cert>
### Сюда вставляем содержимое User.crt
</cert>
<key>
### Сюда вставляем содержимое User.key
</key>
В целом, поддерживаются такие опции для inline
–ca, –cert, –dh, –extra-certs, –key, –pkcs12, –secret, –crl-verify, –http-proxy-user-pass, –tls-auth, –auth-gen-token-secret, –peer-fingerprint, –tls-crypt, –tls-crypt-v2, –verify-hash
