Servidores con DNS no dan respuesta a ping

[aviateco]

Estimados: tengo un escenario de red todo en windows con firewall opnsense, el cual actualmente las sub redes solo tienen la regla: por ejemplo:
source: LAN_net - destiny: any, y de esa forma puedo dar ping a todas las subredes, pero tengo que realizar una réplica de active directory y está en otra sub red y necesito dns, entonces el controlador de domino que tiene ad es
ip 192.168.30.2
puerta de enlace 192.168.30.1
dns: 192.168.30.2 y dns secundario 192.168.60.2

y la réplica :
192.168.60.2
puerta de enlace 192.168.60.1
dns: 192.168.60.2 y dns secundario 192.168.30.2

todas en host only (no puedo quitar host only tiene que ser con esa configuración) lo que sucede es que quitando dns puedo dar ping, responden ambos server windows 2016 estandar, pero con dns ya no hay respuesta, "tiempo de espera agotado para esta solicitud", en que puedo estar fallando?

adjunto diseño de la red: