Как запретить преобразователю BIND DNS запрашивать авторитетный DNS в частном адресном пространстве?

У меня есть сопоставитель DNS с запущенным BIND, который обслуживает клиентов в частном адресном пространстве (например, некоторые из моих клиентов находятся в 10.1.0.0/24) и разделяет их на представления.

В общедоступном Интернете есть домены, серверы NS которых разрешаются в частное адресное пространство (например, NS на example.com — 10.2.0.1), что вызывает трафик от BIND к 10.2.0.1 в попытке разрешить его.

Как я могу предотвратить попытки BIND запрашивать авторитетные серверы имен в частном адресном пространстве при разрешении? Мне все еще нужно иметь возможность отвечать клиентам в частном адресном пространстве для других доменов.

Я смог решить это, используя сервер блоки в моих представлениях, чтобы пометить частные подсети как поддельные, например,

сервер 10.0.0.0/8 {
  поддельный да;
};