[Safety1st]

покажите вывод команды repadmin /showrepl с каждого КД »

DC один, если автор правильно понимает и описал ситуацию. DNS-зона может быть и без интеграции в AD.

Моё предложение - удалить роль DNS и всё такое на сервере с 2k3. А затем создать заново. На DC при этом в параметрах зоны указать, что DNS-сервер на 2k3 - secondary DNS. Тогда будет, что автор хочет - 'чтобы он получал обновления зон только с контроллера домена'. И лучше перенести зону на интеграцию в AD, если это возможно в принципе, без пересоздания зоны.