Este é realmente um comportamento correto. É suposto impedir um caso em que o servidor principal pode falhar antes de executar uma atualização tardia no secundário.
Você pode ler a seção 5.2.1 do protocolo de failover do dhc se você quiser, mas a citação relevante é:
"This allows that server to give a longer lease time to the client the next time the client renews its lease, since the time that it will give to the client will not exceed the MCLT beyond the potential expiration time acknowledged by its partner."