Használj E-Taget a Cache-Control mellé.
Amúgy tudnál mutatni egy teljes HTTP header-halmazt, amit a kontroller előállít?
Még az is lehet, hogy nincs jól beállítva az időzóna, ezért aztán hiába 5 perc a cache értéke, azt látja a böngésző, hogy már rég lejárt a cache érvényessége.