DCs sehr viele UDP-Verbindungen zur Firewall

Hallo,


unsere Firma hat momentan, regional bedingt, eine Internet-Standleitung mit geringer Bandbreite.
Im November können wir endlich auf 50 MBit wechseln, da die Telekom in unserer Region ziemlich gut am rackern ist.

Alle Verbindungen zum Internet gehen über eine FortiGate Firewall!

Da die langsame Leitung, im Downstream, oft so gut wie ausgelastet ist habe ich mal auf der Firewall recherchiert, welche LAN-IPs die meisten Verbindungen zu ihr aufbauen.
Dabei ist mir aufgefallen, dass die beiden DCs immer mit Abstand die meisten Connections (UDP) haben.

Ob diese auch den Traffic verursachen kann ich nicht sagen, es sind nur auffällig viele Verbindungen vorhanden.

Wir verwenden 2012 R2 mit Remote-Desktop-Dienste als Terminalserver.
Die Terminalserver, der Exchange-Server und auch der WSUS und AntiVirenprogramm-Server haben vergleichsweise wenig Connections zur Firewall.
Ich dachte, gerade diese kommunizieren am meisten mit dem Internet.

Meine Frage ist nun, was genau machen die DCs, die intern auch DNS-Server sind, mit den vielen Verbindungen zum Internet?
Kann es sein, dass die Anfragen vom Exchange, vom WSUS und AntiVirenprogramm-Server oder von den TS über die DCs gehen und somit auf der Firewall als Verbindungen von den DCs angezeigt werden?


Gruß, watchdogg