iptables: ОТКЛОНЕНИЕ, не работающее, но ОТБРАСЫВАНИЕ, делает

Нет. Apache может только связать 1 сертификат SSL с любым данным IP/комбинацией портов.

Это вызвано тем, что согласование SSL происходит сначала, и только после того как безопасность была установлена, делает HTTP, начинают течь. Название требуемого сайта является частью Запросов HTTP. Другими словами, когда клиент соединяется с портом 443 на 1.2.3.4, Apache должен дать ему соответствующий сертификат SSL, не зная, какой сайт он хочет.

Существует расширение под названием Признак Имени сервера, который позволяет, чтобы клиенты SSL/TLS обеспечили, включают имя в начальный SSL/квитирование TLS, но SNI не видел значительное принятие, его самый большой недостаток в данный момент, являющийся полным отсутствием поддержки его ни на какой версии IE, работающего на Windows XP.