Verifique se você tem alguma regra de "Regravação de URL" que possa filtrar sua solicitação.
Verifique também se você possui "Endereço IP e restrições de domínio" configurados. No gerenciador do IIS: clique no seu site, "Endereço IP e restrições de domínio", verifique as regras lá. Além disso, verifique as "Configurações de restrição dinâmica". Este módulo é uma coisa anti-DDoS, que pode bloquear você como um falso positivo.
Repita as duas etapas no nível pai (no gerenciador do IIS).