Как получить сертификат Let's Encrypt, будучи за обратным прокси от Cloudflare?

Ubuntu+Apache. SSL в апаче включен, 443-ий порт слушается. IP условно белый. Cloudflare используется просто ради A-записи в DNS. Итак:
sudo certbot --apache
Результат: Detail: remote error: tls: handshake failure

В /var/log/letsencrypt/letsencrypt.log смущает следующее:
...
"hostname": "blablabla.ru",
"port": "443",
"addressesResolved": [
"104.31.82.112",
"104.31.83.112",
...
На самом деле IP у сайта не такой. Понятно, что всё из-за Сloudflare, который отдаёт Let's Encrypt не реальный IP, а какой-то свой. Подозреваю, что handshake не получается именно от этого. Вопрос - как побороть?