Как правильно собрать локальную сеть с Active Directory и Cisco?
Заходите на 192.168.4.3
В пункте 3 прописываете 192.168.4.1 или\и 8.8.8.8, галку в 3.2 убираете (она не позволит прописать forwarders).
Теперь о смысле. Если так не настроено, то:
Клиент хочет узнать адрес yandex.ru, видит 192.168.4.3 в списке DNS, делает запрос у 192.168.4.3 о адресе yandex.ru, но 192.168.4.3 знает только о своём домене, он не знает про yandex.ru и отвечает клиенту отказом. По-хорошему клиент должен сразу задать тот же вопрос следующему DNS в списке (192.168.4.1) и получить нормальный ответ. Но в windows работа с DNS всегда была корявой, неадекватной. Винда как бы говорит вам "если я не получу правильный ответ от DNS с первой попытки, то вы у меня помучаетесь!"
Если вы добавите forwarders, то 192.168.4.3 при запросе yandex.ru скажет (сам себе) "Так, про yandex.ru я ничего не знаю, значит спрошу у 192.168.4.1", и он спрашивает у 192.168.4.1, получает ответ, и затем передаёт этот ответ (от своего имени) клиенту. Т.е. клиент с первой попытки получит то, что ему нужно.
Есть ещё один вариант. Будет ли он работать лучше - зависит от роутера Cisco. Прописываете на роутере два DNS: 192.168.4.3, 8.8.8.8. При этом в DHCP убираете 192.168.4.3 из списка DNS. Т.е. клиенты получают DNS 192.168.4.1, 8.8.8.8. При запросе имён из AD роутер должен переслать запрос на 192.168.4.3. При этом уже не нужно (и даже немножко вредно) прописывать forwarders на 192.168.4.3. В теории должно работать не хуже, чем первый вариант, но нужно проверять на практике, т.к. в каждой конкретной сети и с каждой железкой могут быть свои заморочки.
По хорошему надо вообще все переделывать. DHCP переносить в АД, для АД делать домен xxx.local. У вас сейчас проблема в том, что DNS настроен не правильно и он не знает про DHCP. на 2800 оставлять только маршрутизацию наружу и NAT, к нему цеплять 3750 и настраивать VLAN и внутреннюю маршрутизацию, все остальное цеплять после 3750. тогда предложенный выше форвардинг DNS станет не нужен. И эта, резервный сервер в АД умер вместе с НТ - с тех времен сервера не делятся на основной и резервный, на них можно перенести разные роли, но работают они все одновременно.
Тут сложно, не удобно и долго расписывать подробно как Вам все сделать.  идея в том, что маршрутизатор должен маршрутизить внешнюю нагрузку, 3750 станет уровнем ядра/агрегации, остальной зоопарк уйдет на уровень доступа. в результате управление сетью будет в основном на 3750. интегрировав в АД DHCP и правильно настроив DNS Вы сможете автоматически раздавать адреса по разным VLANам и у Вас не будет проблем с разрешением имен как внешних, так и внутренних. кроме того у Вас сейчас используется доменное имя "внешнее", а адресация класса С не маршрутизируемая - получается коллапс. это сильно не правильно. особенно если ваш xxx.ru где-то зарегистрирован и ваш DNS понимает что он должен быть снаружи, а по факту он внутри.