IIS 10 ARR: сертификат клиента не интерпретируется внутренним сервером

Я сделал IIS 10 с ARR на сервере DMZ Windows 2019, не подключенном к обратному прокси-серверу в OWA (Exchange 2016) с аутентификацией сертификата клиента.

Я получаю ошибку 402.1. Вот некоторые подробности. На стороне ISS ARR в GENERAL_SET_REQUEST_HEADER я могу видеть сертификат клиента. Сравнил отпечаток пальца, и это хороший сертификат. На стороне ISS OWA я вижу в GENERAL_REQUEST_HEADER мой X-ARR-ClientCert с таким же хорошим сертификатом.

Но, похоже, OWA этого не видит, потому что я перенаправлен на аутентификацию NTLM (с ошибкой 402.1 в моих журналах).

Я видел, что настройки SSL и привязка к https должны быть отключены на бэкэнде. но когда я привязываюсь только по http, OWA не работает. у меня вроде работает только по https.

С адреса локальной сети, когда настройки ssl запрашивают сертификат, он работает.

Что мне делать, чтобы аутентификация сертификата клиента работала из ARR? Если нужно, могу выложить логи, чтобы мне помочь. Спасибо.

[РЕДАКТИРОВАТЬ] Переходил на эту страницу: https://blogs.msdn.microsoft.com/asiatech/2014/01/27/configuring-arr-with-client-certificate/

Моя проблема в следующем:

4. Сертификат можно получить с внутреннего сервера следующим образом: System.Text.ASCIIEncoding encoding = новый System.Text.ASCIIEncoding (); строка cert = Request.Headers ["X-ARR-ClientCert"]; X509Certificate2 x509Cert2 = новый X509Certificate2 (encoding.GetBytes (cert));

Я не знаю, где разместить эти строки кода.