SSL-Zertifikat geht nicht bei QNAP1 geht bei QNAP2 Wo ist der Fehler?

Moin, moin,
Ich habe ein TS256 das hinter einem LANCOM-Router auf einer festen externen IP sitzt und einer Hand voll Leuten zum Datenaustausch dient. Dessen SSL-Zertifikat ist abgelaufen. Die Erneuerung, genau wie der Austausch, schlägt fehl mit der Meldung, dass die ..... nicht erreichbar wäre und Port 80 und 443 freigeschaltet sein müssten. Nach stundenlangem rumprobieren habe ich die URL auf ein anderes NAS umgeleitet, das hinter einer Fritzbox hängt (Ports kurz mal freigeschaltet) und dort ein Zertifikat erzeugen lassen. Ging auf Anhieb. Also habe ich das NAS vom Lancom genommen, an die Fritzbox gehängt und ... kein Zertifikat.
Ich habe die Systemeinstellungen und Web-Einstellungen verglichen, zur Sicherheit alle gesperrten IPs freigegeben ... geht nicht. Ich habe auch alle Nase lang die URL gewechselt, weil letsencrypt ja nur 5 Versuche pro Stunde zuläßt ...
Es gibt zwei signifikante Unterschiede zwischen den Geräten. Der zweite Netzwerk-Port ist bei den zickigen QNAP mit einem virtuellen Switch verbunden, an welchem eine VM hängt. Das kann meiner Meinung nach aber nicht die Ursache sein, schon weil der IP-Bereich der Fritzbox ein anderer ist, so das ein benutzen der Ports durch die VM auch ausgeschlossen werden kann.
Der zweite Unterschied ist der, dass das unproblematische NAS noch seinen "admin"-Admin-Zugang hat, weil es nicht im Internet steht und damit von der Passwortspioniererei nicht betroffen ist. Gibt es da eventuell noch irgend wo einen Haken bei dem Ersatz-Admin zu setzen?