はじめに

Oracle Cloud が提供しているロードバランサではクライアント証明書による認証を行うことができます。
以下のドキュメントにもそのような記載はあるのですが、これだけだとあまりピンと来ません。

リスナーの管理

ピア証明書の検証: オプション。ピア証明書の検証を有効にする場合は、このオプションを選択します。

今回はロードバランサにクライアント証明書を設定する方法と実際にどのような動作になるかを見ていきます。

クライアント証明書の作成

クライアント証明書の作成は今回はオレオレ証明書をサーバ上で作成していきます。
作成の際には以下のサイトを参考にさせていただきました。

クライアント証明書認証の設定メモ（Apache2.4 + CentOS）
サーバ証明書・クライアント証明書作成

作成環境は Oracle Cloud Infrastructure(以下、OCI)上に CentOSのインスタンスを作成し
そのインスタンス上で openssl を利用して証明書を作成しました。
作成したものは以下の通りです。

サーバ証明書

SERVER_CERT.key：秘密鍵
SERVER_CERT.csr：CSR
SERVER_CERT.crt：サーバー証明書

クライアント証明書

client.key：秘密鍵
cacert.pem：クライアント証明書を発行した認証局の証明書
client.p12：秘密鍵と発行したクライアント証明書を PKCS#12形式にしたもの

通常のSSL通信

実際にロードバランサに設定をしてきます。事前にHTTPでアクセスできることは確認しています。
まずは先ほど作成したサーバ側の証明書のみを使用して通常のSSL通信ができるかどうかを検証します。

ロードバランサの下記の画面でサーバー証明書を追加します。

証明書の追加をクリックし、証明書名とSSL証明書ファイル、秘密キーの指定をチェック入れて選択。
設定している場合は秘密キーのパスフレーズも入力します。証明書の追加をクリックします。

追加が完了したらリスナーの画面に遷移し、リスナーの作成をクリックします。
プロトコルはHTTPを選択、ポートは443とします。SSLの使用にチェックを入れます。
証明署名に先程登録した normal_ssl を設定し、バックエンド・セットを選択して作成をします。

作成したらアクセスをしていきます。今回はドメインを指定してないのでロードバランサのパブリックIPでアクセスします。

https://<ロードバランサのIP>

アクセスすると以下のような画面が表示されます。オレオレ証明書のため警告が出ますが
詳細情... をクリックして危険性を承知で続行をクリックします。

無事にアクセスできれば下記のようにURLバーに鍵マークがついています。
これでサーバー証明書だけのアクセスは確認できました。

クライアント証明書の設定

次はクライアント証明書の設定をしていきます。
先程のロードバランサの証明書設定画面で証明書の追加をクリックし
先程と同じように証明書名を入力。サーバ証明書を選択。
CA証明書ソースの指定にチェックをいれ、CA証明書ファイルの選択でクライアント証明書作成の際に利用したクライアント証明書を発行した認証局の証明書であるcacert.pem を選択。
秘密キーの指定をチェック入れて、証明書の追加をクリック。