sinon, pour les histoires de pare-feu (à priori ce que axb rencontrait comme problème un peu au dessus)
il faut au moins ouvrir le port 443 du pare-feu du synology (pas celui de la box !) pour les conteneurs dockers en bridge (c'est le cas dans ce tuto) ! Ils sont considérés comme externes d'un point de vue de dsm (7) et de son PF.
en mode parano on ouvrirai uniquement pour l'ip du docker acme le 443 en destination tcp (mais elle peux changer si j'ai bien compris docker, donc pas génial) ou, moins parano toutes les IP du bridge0 docker ( 172.17.0.0/16 ).
pour le deploy il faut aussi ouvrir le port http dsm (encore une fois, que du syno, pas nécessaire sur la box)
Mais mieux encore, et a moins que vous ne fassiez pas confiance à votre propre lan, autorisez tout pour les plages d'ip locales de la rfc1918, c'est à dire en toutes premières règles du pf, autoriser tout pour les 10.0.0.0/8, 172.16.0.0/12 (qui intègre donc le 172.17.0.0/16) et 192.168.0.0/16.
C'est ce qui est décrit dans tuto de Fenrir sur la sécurisation du nas partie config du PF 🙂
edit: pour ceux qui utilisent le serveur dns du syno, il faut aussi ouvrir le port de celui ci (53)