Правильно ли я понимаю, что если односторонняя аутентификация работает, то проблема не с настройкой сервера?
Проблему надо искать где-то на клиентской части?

Логирование настроил, но ничего существенного там не обнаружил.

Временно решил проблему так:
Решил генерировать ключи и сертификаты как для сервера так и для клиента одним способом - либо с помощью CSP либо с помощью JCP. Остановился на JCP.
Т.к. ключи и сертификат сервера у меня есть, генерирую ключ для клиента с помощью JCP, там же создаю запрос на сертификат в BASE-64.
Скопировал хранилище на съемный диск.
В CSP зарегистрировал этот диск как хранилище ключа, открыл его и поставил сертификат.
Обратился к серверу через IE - ЗАРАБОТАЛО! :)

Остается выяснить, почему сертификат, сгенерированный с помощью CSP не подходит для JCP.
Есть соображения? Может специальная конфигурация необходима на странице генерации ключа?

Сертификаты отличаются:
https://www.dropbox.com/...compare_certificates.png
Вот сравнение вывода утилиты keytools.
Слева - сгенерировано через https://www.cryptopro.ru/certsrv/certrqma.asp
С параметрами: подлинность сервера, ключи уже имеются, использование - оба.

Справа - запрос сгенерирован с помощью JCP, после сертификат получен здесь: https://www.cryptopro.ru/certsrv/certrqxt.asp


И получается такая ситуация:
1) если я делаю запросы сертификатов пользователя и сервера с помощью JCP - работаеют отлично tomcat и glassfish.
2) если делаю сертификаты с помощью CSP, то tomcat работает, а вот glassfish ругаетсе "No alias is match".
3) если же сертификат сервера получаю из запроса JCP, а пользователей через CSP, то ни tomcat, ни glassfish работать не хотят - говорят BAD_CERTIFICATE - null cert chain.