Почему certbot не может обновить сертификат?

Debian 8, nginx в качестве прокси. Проксирует два домена на два веб-приложения, одно находится на этой же машине, другое - на физически другой. Сертификаты от LE получает Certbot. Белый статический IP, 80 и 443 порты, A-записи, всё это есть и работает. Более того, для обоих доменов успешно получены сертификаты от LE командой
sudo ./path/to/certbot-auto --nginx
Следующая задача - настроить автоматическое обновление. В Debian 8 это делается добавлением соответствующей команды в cron, но сначала на сайте Certbot предложено проверить обновление в тестовом режиме командой
sudo ./path/to/certbot-auto renew --dry-run
Казалось бы, какие могут быть проблемы, если сертификаты успешно получены и нужно только обновить, пусть и в тестовом режиме? Но не тут-то было - для обоих доменов попытка завершается ошибкой:

Domain: tut.my.domain
   Type:   connection
   Detail: Fetching
   http://tut.my.domain/.well-known/acme-challenge/4586QqpTV_5hQPD4q2tYDqvQqpTV_5hQPqvQqpTV_5h:
   Timeout during connect (likely firewall problem)

С Debian 8 в роли проксирующего nginx я не сталкивался, возможно, что-то упускаю, но likely firewall problem - этого не может быть, т.к. 1) сертификаты уже получены 2) 80 и 443 открыты и слушаются.
Гуглил, но, в основном, у людей проблемы с этой ошибкой связаны в принципе с получением сертификата, а не с обновлением уже имеющегося, поэтому ничего толкового не нагуглилось.