Для активации mTLS:
instance.pg.ssl = true
server.crt и server.key, положить ca.crt в формате PEM.В результате сервер будет принимать подключения только от тех клиентов, кто предоставил сертификат и чей сертификат был подписан ca.crt или его производными.
Если ca.crt отсутствует в data-директории, то проверка peer-сертификатов не выполняется.