В ответ на пост Продолжал писать ansible-скрипты, накатываю там certbot'ом сертификат от Let's Encrypt, ещё один лайфхак словил. После того как запустили себе эту псевдомашинку локально, можно прокинуть туннель от внешнего порта до локального из контейнера вот так: ssh -R 9080:localhost:9080 user@ssh.example.org На той машинке докидываем nginx конфиг для домена, который указывает на неё: server { listen 80; server_name domain-test.example.org; location / { proxy_pass http://localhost:9080/; proxy_set_header Host "domain-test.example.org"; } } Готовенько, теперь certbot сможет провести все махинации (хотя исполняется локально в контейнере). https от этого на этом домене не сработает (у него сертификатов нет), но мне особо и не нужен он, лишь бы скрипты потестить.