Владимир Дубровин

дайте команду
nslookup anton.office

убедитесь, что DNS-сервер, к которому идет запрос это тот, который вы ожидаете

если в результате будет таймаут - ищите проблему в сети. С помощью tcpdump или wireshark проверьте что по сети уходят запросы в сторону сервера, что сервер видит эти запросы и что в обратную сторону уходит ответ и этот ответ видит клиент

если в результате будет ошибка, что хост не найден или ошибка DNS-сервера, ищите проблему на самом DNS сервере. В логах проверьте наличие проблем при обновлении DNS-зоны.

Если в nslookup проблем не будет - ищите проблему с локальным кэшированием имен.

Сделайте в локальном DNS stub-зону для site.ru, подмените в ней только те записи, что необходимы. Можно поставить время TTL для этих записей минимальным, чтобы избежать длительного кэширования.

Установите правильные значения MTU (скорее всего они сейчас установлены выше реальных) на линке с провайдером и на интерфейсе в локальную сеть + проверьте, не режутся ли пакеты ICMP fragmentation needed.

Скорей всего, в качестве DHCP-сервера у вас используется SOHO-роутер, который теряет базу выданных адресов на перезагрузке или у вас поднято более одного DHCP сервера. Если это так, отключите DHCP на роутере и поднимите его на одном из Windows-серверов, убедитесь что стоит регистрация клиентов в DNS.
Если это не так - увеличьте время лиза в DHCP.

Чтобы проходил DMARC, домен в подписи DKIM должен соответствовать домену из поля From: .

Есть два варианта, в родительском домене

прописать 2 записи:
subdomain2 IN A 17.17.17.17
subdomain2 IN NS subdomain2.example.com.

а в зоне subdomain2 на subdomain2.example.com все остальное
второй вариант, видимо, который Вам и надо, прописать в родительском домене только запись

subdomain2 IN NS subdomain2.example.com.

а в зоне subdomain2 на subdomain2.example.com

@ A 17.17.17.17
и все остальные.

Варианты практически равноправны.