С ДНС-ом вроде разобрался, надо было дать возможность соединятся напрямую, если родительский кеш недоступен.