原則として外部通信は必要です。ACMEクライアントはCA側エンドポイントと通信して注文・認証・取得を行うため、アウトバウンド通信ができないと成立しません。
対処としては、次の方針で整理するとスムーズです。

・必要な宛先・ポート（主にHTTPS）を許可する（最小権限で例外を作る）
・プロキシ環境の場合は、ACMEクライアントがプロキシ対応か確認する

　どうしても閉域から出せない場合：
・“取得だけ”を外部到達可能な場所で実施し、証明書を閉域へ配布する運用（手順・責任分界の明確化が必要）