NGINX: proxy reverso https para tomcat (guacamole) usando certificado de cliente

Question

Eu tenho uma configuração de máquina Debian Jessie com NGINX e TOMCAT8. TOMCAT está executando o Guacamole. O NGINX está configurado para escutar na porta 443 (SSL) e no proxy reverso para o TOMCAT local no 8080. Tudo está funcionando bem. Quando eu adiciono a diretiva ssl_client_certificate, eu tenho uma página em branco no navegador (Safari MacOS e iOS). Funciona no Firefox. No entanto, com o certificado de cliente, ainda posso me conectar a outros locais no NGINX sem problemas (localização de calibre abaixo, por exemplo). O TOMCAT é configurado imediatamente.

Aqui está o meu arquivo de configuração do NGINX:

server {
    listen 443 ssl;
    server_name domain.eu;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers HIGH:!aNULL:!MD5;

    ssl_certificate /etc/letsencrypt/live/domain.eu/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/domain.eu/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/domain.eu/chain.pem;

    ssl_client_certificate /etc/nginx/certs/ca.pem;
    ssl_verify_client on;

    location /guacamole/ {
            proxy_pass http://127.0.0.1:8080/guacamole/;
            proxy_buffering off;
            proxy_http_version 1.1;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header Upgrade $http_upgrade;
            proxy_set_header Connection $http_connection;
            access_log off;
    }

    location /calibre {
            proxy_pass http://192.168.1.z:8080/calibre;
            proxy_set_header Host 192.168.1.z:8080;
            proxy_redirect default;
    }
}

Qualquer ajuda seria muito apreciada. Laurent