Ho passato qualche ora a cercare di capire come mai il mio DNS primario (su windows 2003) rifiutava le connessioni del povero DNS secondario (anch'esso 2003) nel momento in cui quest'ultimo richiedeva l'update delle zone a cui era stato correttamente autorizzato.
Il motivo era che il secondario è installato su un server con a bordo molti indirizzi ip, ma quello che viene utilizzato per la richiesta verso il primario è l'ip principale associato alla scheda di rete, che ovviamente non era lo stesso che avevo associato al nome logico del DNS secondario.
Per far funzionare il tutto ho dovuto quindi fare in modo che l'ip principale del server su cui è installato il DNS secondario fosse lo stesso che utilizzo per il servizio stesso.