Não posso dar uma resposta completa, mas posso pelo menos dar uma explicação sobre o que está acontecendo. O OS X Server inclui vários aplicativos baseados na Web (webcal, wikis, gerenciador de perfis, etc.), além do serviço básico de "Sites". Ele ativa o apache se qualquer dos serviços baseados na Web estiver em execução. Então, por que VPN é um aplicativo baseado na web, você pergunta? Bem, não é, mas o serviço de configuração de contas (que informa aos clientes como configurar serviços para o servidor) é, e isso começa assim que você inicia qualquer um dos serviços que lida - e a VPN é uma delas.
Assim, você ativa a VPN, que ativa o serviço de configuração de contas para informar aos clientes como configurar o serviço de VPN, e que ativa o apache. Whee.
Você pode desativar manualmente o serviço de configuração de contas (qualquer outro serviço baseado na Web que esteja em execução) com sudo webappctl stop - , mas isso não persiste nas reinicializações. Pode haver uma maneira de dizer ao serviço de VPN para sair do registro com o serviço de configuração de contas (e ligar), mas não sei como.