Установка let's encrypt через webroot plugin

apt install nginx certbot

Настройка nginx - 80 порт снаружи должен быть проброшен на него

server {
        listen 81 default_server;
        listen [::]:81 default_server;

        root /var/www/html;
        location ^~ /.well-known/acme-challenge/ {
            default_type "text/plain";
            root /var/www/letsencrypt;
        }
        location / {
            return 403;
        }

}