内部DNSサーバ(192.168.100.200)があります。
こいつは、インターネットへはISPのDNSを参照しているのですが、
フィルタでDNS responseを弾いてしまっています。
ログをみると下記のようになっています。

PP[01] Passed at OUT(110) filter: UDP ルータ固定IP:53 > IPS/DNS鯖IP:53 (DNS Query [xxxx.com] from 192.168.100.200)
PP[01] Rejected at IN(default) filter: UDP IPS/DNS鯖IP:53 > 192.168.100.200:53 (DNS response)

フィルタは概ね以下の様になっています。
ip filter 110 pass-log ルータ固定IP * tcp,udp * domain
ip filter dynamic 2 * * domain
nat descriptor masquerade static 1 5 192.168.100.200 domain

動的フィルタでresponseを受けたいのですが、out110→dynamic2で、ルータ固定IPへの
INは開くものの、192.168.100.200へのINは開かず、弾かれているのです。
このような場合、どのように動的設定をしたら良いのでしょうか？

尚、何故かresponseが弾かれていても、インターネットへの接続に支障は出ていません。
支障がなければ、いっそセキュリティ上弾いてる方がいいモノなのでしょうか？