443 можете освободить с помощью cloudflare tunnel + nginx/apach/traefic. Все просто - url через туннель на порт типа 8888 по http внутри сервера + docker, который меняет 8888 на 443 с Nginx или чем либо еще что вам нужно ну и выход из докера, или в самом докере. Из плюсов - вам больше не нужен let’s encrypt. Да грузит систему, да требует разобраться с клоудфлеер, но будет работать, сможете освободить порт и поставить X-ray. Еще могу посоветовать Tailscale, полный аналог zero tier, но я не знаю будет ли он у вас заблочен - не работал на yota.
Upd1. На всякий случай напоминаю что докер окажет с прибора на ufw. Либо используйте другой фаерволл или перенастройте, в сети можно инструкции, иначе порт будет торчать в общую сеть по 8888 (как пример)
Upd2 Докер контейнеры смотрите только официальные, там бывает всякое.