nginx proxy -> apache https

Нельзя. Для понимания на какой именно поддомен с апачом ему идти нужно как минимум server name расширение обработать, это колбек внутри openssl.

Как поднять ssl passthrough прокси?(наподобие того,что есть в Burp)

Можно ли настроить nginx, как ssl-proxy без ключей, а ключи держать на Apache?

Нельзя. Точнее можно, но зачем???

Можно, я тут задавал уже этот вопрос, обсуждали: nginx для передачи запроса без дешифровки (ssl)

http://nginx.org/en/docs/stream/ngx_stream_ssl_preread_module.html

Два ssl нужно было для защиты в локальной сети, но и такой вариант подойдет:
* nginx-proxy-ssl на сервера в локальной сети Apache-http;
* Apache через iptables разрешил общаться только с nginx.

Слышал, что nginx может проксировать tcp.

ХЗ как это реализуется. TLS 1.3 не должен показывать домен, к которому обращается клиент, непонятно, как nginx при этом определит, куда проксировать.