Let's Encrypt, certbot, Firewall - welche IPs erlauben?

[Raketenbrandmauerlehrling]

Außerdem sehe ich da keinen Neustart des Webservers?

Das macht certbot wohl selbst. Jedenfalls werden die Webseiten sofort mit dem neuen Zertifikat ausgeliefert. (Man kann sich in der Frage übrigens täuschen, so lange das Zeug aus dem Cache kommt.)

/usr/bin/certbot renew 1> "${outfile}" 2>&1;

reicht also. Dein

/etc/init.d/apache2 restart

ist (bei Verwendung von certbot!) also „hyperliquide“. Außerdem sollte man auf $modernen_Systemen entweder systemctl oder aber apache2ctl benutzen. Etliche Dienste haben (je nach Distribution natürlich) die Skripte für das gute, aber vor allem alte System V-Init schon gar nicht mehr. Und die existierenden sind dann nur noch „wrapper-scripte“ für systemd, also systemctl.