dig получает ответ от bind9, но host, nslookup и postfix - нет

Я только что обновил свой рабочий почтовый сервер с Ubuntu 14.04 до 16.04, что вызвало много проблем. Одна из проблем, которую я не мог решить, заключается в следующем: я запускаю кэширующий DNS bind9 с довольно стандартной конфигурацией:

named.conf.options:

acl goodclients {
  10.12.0.0/24;
  localhost;
  localnets;
};
options {
  directory "/var/cache/bind";
  dnssec-validation auto;
  recursion yes;
  allow-query { goodclients; };
  auth-nxdomain no;    # conform to RFC1035
  listen-on-v6 { any; };
};

Обычные запросы работают со всеми клиентами. (все на локальном хосте)

Однако, если я попытаюсь решить, т.е. lux.smtp-out.eu-west-1.amazonses.com, Я получил правильный ответ из раскопок:

; <<>> DiG 9.10.3-P4-Ubuntu <<>> lux.smtp-out.eu-west-1.amazonses.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 27309
;; flags: qr rd ra; QUERY: 1, ANSWER: 16, AUTHORITY: 8, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;lux.smtp-out.eu-west-1.amazonses.com. IN A

;; ANSWER SECTION:
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.143
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.142
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.139
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.200
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.136
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.201
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.203
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.205
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.202
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.138
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.137
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.141
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.206
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.204
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.140
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.207

;; AUTHORITY SECTION:
amazonses.com.      171390  IN  NS  pdns4.ultradns.org.
amazonses.com.      171390  IN  NS  pdns5.ultradns.info.
amazonses.com.      171390  IN  NS  pdns1.ultradns.net.
amazonses.com.      171390  IN  NS  pdns6.ultradns.co.uk.
amazonses.com.      171390  IN  NS  ns1.p31.dynect.net.
amazonses.com.      171390  IN  NS  ns2.p31.dynect.net.
amazonses.com.      171390  IN  NS  pdns2.ultradns.net.
amazonses.com.      171390  IN  NS  pdns3.ultradns.org.

;; Query time: 21 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Wed Nov 23 10:21:22 CET 2016
;; MSG SIZE  rcvd: 539

Однако из nslookup я получаю

;; Truncated, retrying in TCP mode.
Server:     127.0.0.1
Address:    127.0.0.1#53

** server can't find lux.smtp-out.eu-west-1.amazonses.com: REFUSED#

и от хозяина

Host lux.smtp-out.eu-west-1.amazonses.com not found: 5(REFUSED)

Что еще более важно, postfix отклоняет электронные письма с этого адреса, потому что он не может разрешить имя хоста.

Вот журнал запросов bind9:

client 127.0.0.1#39803 (lux.smtp-out.eu-west-1.amazonses.com): query: lux.smtp-out.eu-west-1.amazonses.com IN A +E (127.0.0.1)
client 127.0.0.1#40264 (lux.smtp-out.eu-west-1.amazonses.com): query: lux.smtp-out.eu-west-1.amazonses.com IN A + (127.0.0.1)

Первая запись - из запроса dig, вторая запись - из nslookup (то же самое для других клиентов). Единственное отличие - это флаг E для edns0.

Что я уже пробовал:

• очистил и переустановил bind9, я отредактировал только named.conf.options, показанные выше
• отключил брандмауэр с такими же результатами

А пока я в тупике ...