A autorização requer que o navegador do usuário informe ao servidor qual nome de domínio ele está solicitando. Parece que o navegador do seu cliente não está enviando corretamente essas informações. Certifique-se de que o cliente não esteja usando um proxy. Observe os registros de acesso enquanto o cliente tenta acessar uma parte desprotegida do site.
Considere também retirar a autenticação de senha por alguns minutos (coloque uma página fictícia de html no mesmo diretório, se necessário) e veja se o cliente pode acessar a página quando não houver autenticação.