Bỏ kết nối với chứng chỉ ứng dụng khách CN không khớp trong nginx TCP proxy ngược

Tôi đang sử dụng nginx để thêm chức năng TLS trên máy chủ TCP hiện có (Redis) bằng cách ủy quyền cho nó như vậy (vui lòng đọc tiếp trước khi nói "Redis có hỗ trợ TLS tích hợp sẵn"):

dòng {
  người phục vụ {
    nghe 6379 ssl;

    ssl_certificate /etc/ssl/private/tls.crt;
    ssl_certificate_key /etc/ssl/private/tls.key;

    ssl_client_certificate /etc/ssl/private/ca.crt;
    bật ssl_verify_client;

    proxy_pass redis:679;
  }
}

Tuy nhiên, điều này sẽ chấp nhận tất cả các chứng chỉ ứng dụng khách đã được ký bởi CA được chỉ định. Tôi chỉ muốn chấp nhận chứng chỉ ứng dụng khách với một CN cụ thể: cn=api. Khi ủy quyền HTTP, tôi có thể sử dụng một nếu tuyên bố như thế này

if ($ssl_client_s_dn != "CN=api") {
  trả lại 403;
}

Tuy nhiên, có vẻ như nếu các câu lệnh như thế không được phép trong các máy chủ phát trực tuyến. Như một giải pháp thay thế, tôi đã sử dụng một bản đồ câu lệnh để định tuyến các yêu cầu không khớp với CN tới một thượng nguồn không tồn tại như thế này:

dòng {
  ngược dòng redis_backend {
    máy chủ redis:6379;
  }

  bản đồ $ssl_client_s_dn $backend_svr {
    "CN=api" redis_backend;
    mặc định không;
  }

  người phục vụ {
    ...

    proxy_pass $backend_svr;
  }
}

Tuy nhiên, tôi không thể không cảm thấy rằng phải có cách tốt hơn để từ chối kết nối do chứng chỉ ứng dụng khách không khớp.