HELP - mizerná komunikace mezi Win XP a Win 200x Server

Mám problém způsobený asi špatným nastavením:
- kvalitní kabeláž, schopná gigabitového provozu (jede 10/100), značkové swiche HP Procurve řady 2600
- stádečko solidních PIV s Win XP a dva servery (dvě nezávislé domény) s Win 2000 S a Win 2003 S
- firewall Kerio nastavený jako výchozí brána.
Všechno chodí s jedním problémem - stroje s Win XP mají potíže s komunikací na servery. Vyzkoušel jsem snad už všechno. Když pustí Word, trvá to i několik desítek sekund, než najede. Když jsou mimo doménu (autentifikují se vůči svému stroji), všechno šlape jak hodinky. WINsy jsou nastaveny a fungují.
Nejlepší ale je, že počítače s Win 2000 Profesional tyto potíže NEMAJÍ! Ze zoufalství jsem začal přeinstalovávat stroje s Win XP na starší Win 2000.
Problém asi bude v nastavení DNS (nasměrované pouze na firewall), známý mi říkal, že by jeden záznam měl být na doménový server, což považuju za pitomost. Navíc by špatně fungovaly i Win 2000 Pr!
Poraďte někdo. Jen dodávám:
- chytré rady o přechodu na Linux si nechte od cesty. Je to ve státní správě nereálné. I když bych asi rád...
- HW je kvalitní a problém v něm nevidím
- síť, firewall i swiche instalovala odborná firma a fungují dle všeho správně
- síť byla nedávno přeměřena a odpovídá standardům

V kazdym pripade si nahod nejaky soft na odchytavani paketu a mrkni co se tam deje a kde to vazne. Takhle se nic zjistit neda.

Klasika, špatně naimplementovaný DNS systém v doméně.
1) Je třeba na některém z těch Win200x (doporučuju spíše ten 2003) serverů nainstalovat DNS server a správně ho nakonfigurovat. Zrušit root zónu (.) a udělat na něm forward zóny pro obě domény + reverse zóny pro subnety, které používáš. Na všech zónách povol dynamické registrace (toto je snad nejkritičtější bod). Nastav forwardování nezodpovězených dotazů na DNS ISP nebo gateway, podle toho co používáš.
2) Nastav VŠECHNY počítače i servery na tento DNS server. Nezbytně nutné ! Ve forward zónách pro obě domény MUSÍ být zaregistrovány MSDCS záznamy obou doménových kontrolérů. Pokud nejsou tak na těch serverech restartuj službu NETLOGON, pokud stále není - otoč server, pokud není ani po restartu, tak si stáhní dcdiag a spusť ho. Po dokončení spusť NSLOOKUP a zkontroluj zda DNS resolvuje PDC a GC záznamy v DNS.

nslookup
>set q=srv
>_ldap._tcp.pdc._msdcs.tvoje.domena.nevim
měl by vrátit ip adresu domain controlleru
>_ldap._tcp.gc._msdcs.tvoje.domena.nevim
měl by vrátit ip adresu domain controlleru

Jinak WinXP ti nefungují protože nelezou na WINSy, pokud mají nastavenou DNSku (možná se k tomu dají přinutit - nezkoumal jsem)Windows 2000 to nedělají.

EDIT: Pro rýpavce doplním, že se dá použít jakýkoliv DNS server, který podporuje dynamické registrování (MS to nedoporučuje 8-) )