Als wären notwendige SPNs, DisableStrictNameChecking, DisableLoopbackCheck, BackConnectionHostnames nicht schon genug gibts (eh schon seit 2010…) noch einen weiteren Wert der helfen könnte:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\SrvAllowedServerNames

Ein REG_MULTI_SZ wo man dann die gewünschten CNAMES reinschreibt.

Hier beschrieben (u.a.): Description of the update that implements Extended Protection for Authentication in the Server service (microsoft.com)