Для обычного открытого http всё работает хорошо.
А для https failed to receive handshake, SSL/TLS connection failed.
Это так и должно быть? Я же где-то читал про как раз-таки первый запрос host, что он тоже должен скрываться? Или нет

Имеет смысл запустить blockcheck.sh, с отключенными средствами обхода блокировок, включая сам zapret.