As conexões que falharam foram conexões TCP para sites habilitados para CloudFlare. O Windows Server 2012 habilita a notificação explícita de congestionamento por padrão - os sinalizadores ECN e CWR (janela de congestionamento reduzida) são definidos como verdadeiros em pacotes TCP.
Eu resolvi o problema executando
netsh interface tcp set global ecncapability=disabled