Добавить разрешающее правило до DROP, где -d будет ваш внешний адрес, а -s будет любой. Но вам придется так же рихтовать настройки Apache, что бы в ваших хостах все было верно, то есть то что должно быть доступно для VPN должно обязательно быть учтено в параметре LISTEN, а то что должно быть доступно из мира LISTEN внешний_ip:80 и т.д.

conf apache

Это для lo

<Location /localhost>
    SetHandler localhost
    Order Allow,Deny
    Deny from  all
    Allow from 10.8.0.1/24
</Location>

<Location /domen>
    SetHandler domen
    Order Allow,Deny
    Allow from all
</Location>

Но тогда, если я правильно понимаю правила DROP и ACCEPT на порты 80/443 в iptables не имеют смысла, т.к. разбираться кому можно а кому нет будет апач.?

conf apache

Так на localhost, нужно дописать

Require local

Но вопрос с iptables все еще открыт.

Но тогда, если я правильно понимаю правила DROP и ACCEPT на порты 80/443 в iptables не имеют смысла, т.к. разбираться кому можно а кому нет будет апач?

Это правильный ответ. iptables работает на сетевом уровне. Обращение к конкретному домену идёт на прикладном уровне в виде «GET ввв.ру», iptables суда доступа не имеет. Разруливается средствами апача или фронтенда.

Но тогда, если я правильно понимаю правила DROP и ACCEPT на порты 80/443 в iptables не имеют смысла, т.к. разбираться кому можно а кому нет будет апач.?

Нет, не правильно понимаете. Разбираться на уровне доменных имен будет Apache, но до того пакет у вас отсекается iptables, т.к. в источнике и назанчении у вас стоят локальные адреса. А вам надо что бы ваш сервер видел мир.