El TLS hacia el origen ya se elige por nombre: full cifra sin verificar y full_strict verifica el certificado del origen. Los dominios nuevos empiezan en full_strict; los existentes siguen en full. La OpenWAF Origin CA emite certificados de origen gratuitos de hasta 15 años, con una clave que genera ella (se devuelve una vez y nunca se guarda) o con tu propio CSR. Con la autenticación del borde ante el origen, el borde presenta un certificado de cliente, así que tu servidor puede rechazar cualquier conexión que no venga de OpenWAF.
Mira la documentación de SSL/TLS.