Windows DNS + Statefull Firewall = Probleem?!

[groenleer]

Op mijn stage lopen we tegen een aantal problemen aan, en dacht misschien dat er hier wat mensen zijn die me kunnen helpen.

We hebben een set van 2 dns-servers die problemen opleveren.
Tussen de werkplekken en de 2 dns-servers zit een firewall die alleen nieuwe of statefull connecties doorlaat.

Wanneer de pc een aanvraag indient bij DNS01 dan reageert in 80% van de gevallen DNS02, zonder dat deze in een cluster zijn ondergebracht.

Doordat DNS02 reageert, en niet aangeeft dat het een nieuwe connectie is, dropt de firewall het data pakketje. (Logisch)

Nu is mijn vraag, hoe komt het dat DNS02 reageert, terwijl de vraag aan DNS01 is gesteld?

[GlobalServe]

Zet eens op de firewall poort 53 UDP en TCP open.

[groenleer]

Zet eens op de firewall poort 53 UDP en TCP open.

Deze staan uiteraard open, maar hij controleert nog steeds of er reeds een sessie is opgezet.

Het probleem is niet zo zeer dat de respons er niet door heen komt, maar dat een andere server rechtstreeks terug antwoord dan waar het aan gevraagd is.

[GlobalServe]

Wat is de primary nameserver volgens de SOA records en de dns zone?
De primary gaat altijd voorrang krijgen op de andere nameserver.

[groenleer]

DNS01 is .17
DNS02 is .13

DNS01 is primary nameserver volgens de zonefile voor het bedrijf voor het eigen-domein.

Beide servers hebben forwarders ingesteld en zijn ingesteld als default dns-servers via dhcp.
Wanneer we .17 raadplegen, dan antwoord .13 in 80% van de gevallen.
En raadplegen we .13 dan reageert de .17 in 80% van de gevallen.

Slechts in 20% gaat het goed.
Het blijft gewoon een vreemd probleem.


--edit--
Wanneer andere DNS-servers worden gebruikt gaat alles wel goed

[GlobalServe]

Zet de round robin eens uit op beide dns server...
Waarom gebruik je forwarders? Is toch niet nodig. Hij zal wel de root servers gebruiken indien nodig.

[groenleer]

Zet de round robin eens uit op beide dns server...
Waarom gebruik je forwarders? Is toch niet nodig. Hij zal wel de root servers gebruiken indien nodig.

Forwarders staan naar een paar caching nameservers in gesteld.
Reden daarvoor is mij nog niet geheel duidelijk.
Ik denk om het aantal connecties naar buiten toe te beperken.