Проблемы WCF с wsDualHttpBinding и netTcpBinding за межсетевыми экранами

У меня есть автономная служба WCF, работающая на сервере за брандмауэром. В настоящее время он использует wsDualHttpBinding, поскольку служба использует обратные вызовы. Клиент отлично работает в локальной сети. Мы открыли брандмауэр, чтобы разрешить трафик на настраиваемый порт, и теперь обнаружение службы работает из-за пределов локальной сети.

Из-за характера wsDualHttpBinding это явно не может работать, если клиент находится за собственным брандмауэром. Естественно, приходит на ум netTcpBinding, который должен решить проблему двунаправленности. Но странно то, что когда XML конфигурации службы обновляется, чтобы включить netTcpBinding в тот же порт (и / или исключить wsDualHttpBinding), тогда даже обнаружение службы больше не работает.

Мне интересно, есть ли еще что-нибудь, чего мне не хватает. Я последовал точному совету по настройке из Как: использовать netTcpBinding с проверкой подлинности Windows и сообщением Безопасность при вызове WCF из Windows Forms и из Windows Communication Foundation QuickStart - Multiple Binding VS2010.

Конфигурация:

<system.serviceModel>
  <bindings>
    <netTcpBinding>
      <binding name="NetTcpBindingEndpointConfig">
        <security mode="Message" />
      </binding>
    </netTcpBinding>
  </bindings>
  <services>
    <service name="Service1.Service1.Service">
      <endpoint address="Service1" binding="wsDualHttpBinding" contract="Service1.IService1">
        <identity>
          <dns value="localhost"/>
        </identity>
      </endpoint>
      <endpoint address="mex" binding="mexHttpBinding" contract="IMetadataExchange"/>
      <endpoint address="" binding="netTcpBinding"
                 bindingConfiguration="NetTcpBindingEndpointConfig"
                 name="NetTcpBindingEndpoint" contract="Service1.IService1">
        <identity>
          <dns value="localhost" />
        </identity>
      </endpoint>
      <host>
        <baseAddresses>
          <add baseAddress="http://localhost:9999/Service1.Service1/"/>
          <add baseAddress="net.tcp://localhost:9999/Service1.Service1/" />
        </baseAddresses>
      </host>
    </service>
  </services>
  <behaviors>
    <serviceBehaviors>
      <behavior>
        <!-- To avoid disclosing metadata information, 
        set the value below to false and remove the metadata endpoint above before deployment -->
        <serviceMetadata httpGetEnabled="True"/>
        <!-- To receive exception details in faults for debugging purposes, 
        set the value below to true.  Set to false before deployment 
        to avoid disclosing exception information -->
        <serviceDebug includeExceptionDetailInFaults="True"/>
      </behavior>
    </serviceBehaviors>
  </behaviors>
</system.serviceModel>