Почему не работает безопасность Kerberos для нашего прокси-сервера ADFS?

У нас есть служба WCF, которая использует активную федерацию для аутентификации вызывающих абонентов через AD FS 2.0, и внутренне она работает нормально. Теперь мы хотим предоставить его внешнему миру, поэтому наша группа серверов настроила сервер в DMZ для службы и прокси-сервер AD FS.

Когда вызывается служба WCF, мы получаем следующее исключение:

System.ServiceModel.Security.SecurityNegotiationException: согласование безопасности SOAP с 'https://adfs-dev.example.com/adfs/services/trust/2005/kerberosmixed'для цели'https://adfs-dev.example.com/adfs/services/trust/2005/kerberosmixed' не смогли. Подробнее см. Внутреннее исключение.

---> System.IdentityModel.Tokens.SecurityTokenValidationException: предоставленным NetworkCredentials не удалось создать учетные данные Kerberos, подробности см. Во внутреннем исключении.

---> System.IdentityModel.Tokens.SecurityTokenException: сбой инициализацииSecurityContent. Убедитесь, что имя участника-службы правильное.

-> System.ComponentModel.Win32Exception: указанная цель неизвестна или недостижима.

• Внутренний сервер AD FS - это отдельный сервер, настроенный как ферма, а не как автономный, а служба AD FS работает под учетной записью службы.
• Прокси-сервер AD FS - это отдельный сервер, настроенный как автономный, а служба AD FS работает как сетевая служба.
• Запись файла хоста на сервере приложений в DMZ указывает имя службы AD FS на IP-адрес прокси-сервера.
• Брандмауэр разрешает трафик SSL через порт 443 от прокси-сервера на внутренний сервер AD FS.
• Имя участника-службы HOST / adfs-dev.example.com зарегистрировано для учетной записи службы.

Что я могу упустить?