> а если для генерации для User1 использовать только Test1/ca.crt, а не объединенный
> с keys/ca.crt, а объединенный использовать только для проверки в OpenVPN?

Это будет идеологически не верно - ибо предполагается, что системы 1 и 2 будут автономные, а так, поменяв на них принцип выдачи сертификата(например придет туда недобросовестный админ), можно попасть в другую автономную систему, а мы отвечаем на все системы.

>> на СА0?

Думаю, что да, так будет правильнее.