NGINX - Extrair nome distinto de um certificado dentro de um cabeçalho HTTP

Question

Eu tenho essa infraestrutura da Web:

Clientes --- > Serviço anti-DDOS externo (proxy inverso) --- > NGINX (proxy reverso) --- > APP PHP (Apache)

Os clientes estão usando 'certificados de cliente' desta maneira: 1-Cliente inicia uma conexão HTTPS enviando seu 'certificado de cliente' O provedor 2-Anti-DDOS adiciona o 'cliente certicate' (completo) a um cabeçalho HTTP no formato base64. O 3-NGINX encaminha o cabeçalho para o servidor final, onde o aplicativo php lê o certificado do cliente, o decodifica e extila o campo Nome Distinto (DN).

Eu gostaria de extrair o nome distinto (DN) diretamente no Nginx, para evitar enviar o certificado completo para o servidor final.

Alguém sabe como posso fazer isso? Estou pensando em um roteiro Lua, mas não tenho certeza de que este é o melhor caminho.