WAP не может опубликовать сервер NDES после того, как Windows Phone пытается получить сертификат, как определено Intune / SCCM

В настоящее время у меня следующая установка, все серверы - Windows 2012 R2:

• Подписка на Intune
• Прокси-сервер веб-приложения
• Автономный CA
• Выдающий ЦС
• Сервер NDES с SCCM CRP
• SCCM 2012 R2
• Устройство Windows Phone 8.1

Моя проблема заключается в следующем: я создал профиль корневого центра сертификации и профиль SCEP в SCCM, развернул их в коллекции пользователей Intune. Когда я пытаюсь подключиться к серверу NDES (https://ndes.bla.com) из Windows Phone 8.1 я могу успешно загружать страницы. После того, как я выполняю присоединение к рабочему месту на устройстве Windows Phone 8.1, в какой-то момент WAP больше не пересылает запросы на сервер NDES, их время истекает. В результате устройство не получит сертификат от сервера NDES. Любой запрос, который я отправляю https://ndes.bla.com не работает из WP8.1 или любого другого браузера, других опубликованных веб-сайтов на сервере WAP (например, https://fs.bla.com) продолжаю отвечать. Перезапуск прокси-службы веб-приложения на WAP-сервере позволяет мне снова получить доступ к NDES извне (в том числе с устройства), пока я снова не присоединюсь к устройству Windows Phone 8.1.

Журнал HTTPERR1.log на сервере WAP содержит следующие записи:

2014-08-14 23:31:10 xxx.xxx.xxx.xxx 56872 yyy.yyy.yyy.yyy 443 HTTP / 1.1 GET /certsrv/mscep/mscep.dll/pkiclient.exe?operation=PKIOperation&message=MIJLHAYJKo (усечено, общий запрос 2048 байт) 2qNaTJX / kpZ - - Client_Reset -

2014-08-14 23:32:10 xxx.xxx.xxx.xxx 56873 yyy.yyy.yyy.yyy 443 HTTP / 1.1 GET /certsrv/mscep/mscep.dll/pkiclient.exe?operation=PKIOperation&message=MIJLHAYJK (усечено, общий запрос 2048 байт) tJQKpRz2qNaTJX / kpZ - - Client_Reset -

2014-08-15 01:29:04 xxx.xxx.xxx.xxx 56953 yyy.yyy.yyy.yyy 443 HTTP / 1.1 GET /certsrv/mscep/mscep.dll/pkiclient.exe?operation=GetCACert&message=MDM - - Client_Reset -

Но только после того, как я попытался активировать Windows Phone, если я заранее сделаю GET вручную с телефона, это позволит мне загрузить файлы, тогда снова первые два могут быть усечены в журналах ...

• Использование общедоступных доверенных сертификатов CA на WAP-сервере и сервере NDES.
• Развертывание профиля SCEP выполняется успешно, когда клиенты находятся в локальной сети, в обход сервера WAP.
• Я добавил MaxFieldLength и MaxRequestBytes на 65534 в HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ HTTP \ Parameters на сервере WAP.
• Из внутреннего успешного развертывания клиентского сертификата я хотел бы увидеть полный запрос, поэтому я могу попробовать его вручную через внешнее соединение, любые советы по этому поводу будут приветствоваться.