Erstmal certbot installieren

apt install certbot

Dann Zertifikat installieren, in iRedMail passt schon alles für Webroot, dann muss man nicht als standalone arbeiten, und den nginx runterfahren.

certbot certonly --webroot --agree-tos --email you@example.com -d mail.your-domain.com -w /var/www/html/

Dann noch in /etc/nginx/templates/ssl.tmpl die neuen Zertifikate von Letsencrypt eintragen:

ssl_certificate /etc/letsencrypt/live/mail.your-domain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/mail.your-domain.com/privkey.pem;