> To OP:
> убери forwarding, возьми свежий лист корневых DNS http://ftp.internic.net/domain/named.cache,
> добавь корневой якорь
> https://data.iana.org/root-anchors/root-anchors.xml
> добавь DLV ключ http://ftp.isc.org/www/dlv/dlv.isc.org.key
> и стань caching (Not a Forwarding) DNS резолвером для своей сетки

Только пусть не забудет в течении 3 дней подключиться к РКН и скачать актуальный списочек забаненых. И реализовать все запреты, конечно:

Федеральный закон от 29.07.2017 № 276-ФЗ "О внесении изменений в Федеральный закон "Об информации, информационных технологиях и о защите информации"
> 7. Владелец программно-аппаратных средств доступа к информационным ресурсам, информационно-телекоммуникационным сетям, доступ к которым ограничен, обязан:
> 1) в течение трех рабочих дней после предоставления ему доступа к федеральной государственной информационной системе информационных ресурсов, информационно-телекоммуникационных сетей, доступ к которым ограничен

)
> «11. Непредставление или несвоевременное представление в орган,
> осуществляющий функции по контролю и надзору в сфере связи, информационных технологий и массовых коммуникаций, провайдером хостинга или иным лицом, обеспечивающим размещение в сети «Интернет» программно-аппаратных средств доступа к информационным ресурсам, информационно-телекоммуникационным сетям, доступ к которым ограничен, данных, позволяющих идентифицировать владельца программно-аппаратных средств доступа к информационным ресурсам,
> влечет наложение административного штрафа на граждан в размере от десяти тысяч до тридцати тысяч рублей; на юридических лиц - от пятидесяти тысяч до трехсот тысяч рублей.»;