Se você verificar só o IP e não o mTLS, você não estará de acordo com a regulamentação do Pix. Mas se o seu application server te passar o certificado apresentado na conexão TLS, você mesmo pode comparar com a CA da Gerencianet no seu código e não aceitar a notificação caso ela não seja assinada por essa CA.