Apache: CA intermediário na “rede escura” (sem acesso à internet)

Question

Histórico: Apache 2.4 (servidor) e Windows 7 Internet Explorer (cliente) usando PKI; ambas as máquinas estão em uma "rede escura" (sem acesso à internet).

Pergunta: No handshake SSL, como o cliente recebe a CA intermediária? Não é possível usar o fornecido pelo Apache?

Minha tentativa:

Apache serves (1) server's certificate, (2) intermediate CA, (3) root CA to the client

Client attempts to verify the chain via internet, fails, checks locally

Solução de problemas: Eu executei um rastreio Fiddler e netsh, e o cliente tenta - embora obviamente falhe - entrar em contato com a autoridade intermediária da autoridade de certificação. Por fim, a conexão SSL é bem-sucedida. Estou tentando entender como o cliente verifica a CA intermediária sem acesso à Internet e sem um certificado salvo localmente.