ssl_verify_client optional;
set $check "";
if ($remote_addr !~ ^192\.168\..+$) { set $check "FA"; }
if ($ssl_client_verify != SUCCESS) { set $check "${check}IL"; }
if ($check = "FAIL") { return 403; }
fgrep
хватило. Понимаю, понимаю, привычка - второе "я". :)