DNS für Nicht-Domänenmitglieder blockieren

Ausgangslage:
In einem 192.168.X.X Unternehmensnetz befinden sich eine Domäne mit wechselnden Mitgliedern und betriebsbedingt mehrere Nicht-Domänenmitglieder, die zu Test- und Schulungszwecken gebraucht werden und auf denen unterschiedliche Dienste laufen. Das Unternehmensnetz ist durch eine externe Firewall geschützt, die Kommunikation des internen mit dem externen Netzes wird ebenfalls gesteuert. Ausserdem fungiert die Firewall als DNS-Proxy für das interne Netz für die Auflösung von externen Namen.
Alle Rechner im Netz benutzen den DC als DNS-Server. Der DC besitzt zwei Netzwerkschnittstellen in zwei Netzen (230 und 231) fungiert ebenfalls durch NAT-Routing (Rolle Routing und RAS) als Router auf die Firewall. Der DNS-Server auf dem DC lauscht nur auf dem 231er Netz, Anfragen aus allen anderen Netzen werden verworfen. Jegliche andere Kommunikation mit der Firewall ausser vom DC zur Firewall wird von der Firewall unterbunden, DNS-Anfragen an die Firewall werden nur beantwortet, wenn MAC-Adresse und IP-Adresse des anfragenden Rechners mit der des DC übereinstimmen, alle Anfragen von anderen Rechnern als dem DC werden verworfen. Somit ist das Verwenden der Firewall als DNS-Server für das interne Netz verboten.

Ziel:
Es soll verhindert werden, daß unabhängig von IP- oder MAC-Adressen sowohl die Testrechner als auch mitgebrachte private Laptops von Mitarbeitern oder externen Kunden über das Firmennetz Zugriff auf das externe Netz haben. Durch die hohe Rechnerfluktiation innerhalb der Domäne und im Testnetz ist eine einfache MAC-Filterliste unpraktikabel und pflegeintensiv. Gleichzeitig soll das Einbinden von neuen Rechnern in die Domäne durch den Administrator ohne weitergehende als der üblichen Konfiguration der Hosts möglich sein. Um den Zugriff auf externe Netze von Rechnern ausserhalb der Domäne zu verhindern, soll die Domäne isoliert werden und DNS-Auflösung nur gegenüber authentifizierten Domänenmitgliedern durchgeführt werden. Rechner, die nicht der Domäne angehören, können keine direkten DNS-Anfragen an den DNS-Proxy auf der Firewall stellen, sondern nur indirekt über den DC.
Zur Zielerreichung sollen keine weiteren Server ausser den beiden bestehenden in das Unternehmensnetz eingebunden werden. Die Einbindung von weiteren Serverrollen/prozessen ist so gering wie möglich zu halten. Für die Testphase ist einfaches HTTP 80 ausreichend, soll aber über einfache Portöffnung ausgehend an der Firewall beliebig erweitert werden können.
Logische Netzstruktur:

192.168.231.X - Domänennetz
192.168.230.X - Externe Schnittstelle des DC. ausgehender Traffic wird mittels NAT geroutet.
192.168.203.X -simuliertes Externes Netz ausserhalb des zu schützenden Unternehmensnetzes

Konfiguration der externen Firewall (Begriffsdefinition ausgehend = vom Netz 230 ins Netz 203):
192.168.230.222 - IP-Adresse
Firewallregeln ausgehend absteigend priorisiert:
- ausgehend http Port 80 für 192.168.230.143 (NAT-Routing aus Netz 231) frei an beliebiges Ziel
- ausgehend DNS Port 53 TCP + UDP für 192.168.230.143 (DC extern) frei an Ziel 192.168.230.222 Port 53 TCP + UDP
- ausgehend DNS Port 53 TCP + UDP verboten
- ausgehend alle Ports verboten
Firewallregeln eingehend absteigend priorisiert
- alle nicht eingehenden Verbindungen blocken (ausser selbst initiiert)
- eingehend Port 53 TCP+UDP verwerfen


Domäne: Domain Controller Windows Server 2008 Enterprise - 192.168.231.143 + diverse Hosts, häufig wechselnd
ausserhalb der Domäne: diverse Testrechner, mitgebrachte Laptops und ähnlicher Krempel.

Konfiguration des Domain Controllers:
192.168.230.143 - externe IP-Adresse zur Kommunikation mit externer Firewall
192.168.231.143 - interne IP-Adresse, DNS lauscht auf dieser Schnittstelle.
IPv6 deaktiviert
erweiterte Firewall aktiviert, Domänenprofil ein, Privat + öffentlich nicht konfiguriert, eingehend Blocken(Standard), ausgehend nicht konfiguriert, IPSEC-Einstellungen Authentifizierung Kerberos V5, ICMP ausschliessen JA
Regeln:
eingehend: DNS (TCP+UDP) Domäne zulassen
eingehend: AD-Dienste zulassen
eingehend: Anmeldedienst zulassen
eingehend: Schlüsselverwaltungsdienst zulassen
Verbindungssicherheit: eingehend Authentifizierung erforderlich, ausgehend anfordern, Methode Computer Kerberos V5

Aufgetretene Probleme: Trotz Freigabe der DNS-Ports scheinen an den DC eingehende DNS-Anforderungen von der DC-Firewall grundsätzlich geblockt werden. Dadurch ist sowohl Anmelden an der Domäne als auch das Registrieren eines neuen Rechners in der Domäne nicht mehr möglich. Selbst wenn eingehend blocken ausgeschaltet wird werden DNS-Anfragen nicht beantwortet. Das Problem kann nur gelöst werden, indem die Windows-Firewall komplett ausgeschaltet wird, jedoch werden dann auch wieder DNS-Anfragen von Nicht-Domänenmitgliedern beantwortet, was eigentlich verhindert werden soll.
Ich habe das ganze auch schon über PKI und Zertifikate versucht, funktioniert zwar, ist aber unpraktikabel, da ich jedesmal, wenn ich ein neues Domänenmitglied registriere, was ziemlich häufig vorkommt, die Firewall am DC abschalten muss bzw GPO deaktivieren...und bei meiner angeborenen Vergesslichkeit verpenne ich garantiert irgendwann mal die wieder anzuschalten.

Die externe Firewall arbeitet perfekt und tut genau das, was so tun soll. An der brauch nichts geändert werden. Mein Problemkind ist der Domaincontroller, der rumbockt.

Wäre über Lösungshilfen dankbar...aber wie gesagt, MACfilterlisten sind nicht akzeptabel.

PS: das von Microsoft zu diesem Thema vorgegebene Whitepaper hab ich abgearbeitet, aber aus unklarem Grund treten dabei die oben aufgeführten Probleme mit dem DNS auf.