Консультации по передовой практике DNS для LAN и общедоступных запросов с DNSDist / recursor / powerdns

Я настраиваю кластер DNS, который скоро будет отвечать как на клиентов локальной сети, так и на общедоступные интернет-запросы. В Интернете есть специальная сеть (XX.YY.ZZ.AA / 26), на которую мне нужно отвечать по-другому при запросе общедоступной зоны ext.net. Я пытался следовать передовым методам, но все еще сомневаюсь и запутался ... Я решил направьте мои клиенты LAN к рекурсору, а не к dnsdist, чтобы обеспечить работающую систему DNS LAN, если Dnsdist испытывает проблемы.

Использую ли я правильный способ по-разному разрешать имена в Интернете и в конкретной сети XX.YY.ZZ.AA / 26?

Должны ли запросы от XX.YY.ZZ.AA / 26 идти от dnsdist к рекурсору LAN перед попаданием на серверы аутентификации? (а не напрямую из dnsdist на серверы аутентификации)

Это моя диаграмма Priv / pub DNS:

Большое спасибо за ваши комментарии