В том, что для генерации сертификата нужны порты 80 и 443 certbot'у, а их nginx занял.
ему не нужны эти порты. Я конечно это никогда не использовал, сразу начал юзать DNS chalenge. Но насколько я понимаю схема работы: 1) создать файлик в well-known папочке, сказать внешней системе сходить за этими файлами 3) получить сертификат и ключ и сложить их в папочку.
на 2 этапе, не проблема эти файлы раздавать вашим веб-сервером из докера. Не нужны этим скриптам 80 и 443 порты