Динамический DNS - Windows Server пытается обновить нежелательные записи A для мастера зоны BIND

У меня есть Windows Server 2008R2 Active Directory и сервер Exchange 2010 (клиентский доступ, транспорт концентратора и роли почтового ящика) в преимущественно серверной среде Linux. Сервер Linux, на котором запущен BIND9, является главным для всех зон, включая зоны, специфичные для AD, с возможностью обновления с сервера Windows (и с отдельного DHCP-сервера Linux). Почтовый транспорт linux / postfix действует как сервер MX домена и интеллектуальный ретранслятор для сервера Exchange.

Сервер Windows - это exchange.domain.tld (type = authoritative), но также имеет обслуживаемый домен type = "internal relay" в Exchange для domain.tld.

ПРОБЛЕМА: Сервер Windows обновляет DNS, используя себя как запись A для domain.tld, что, конечно же, не так. Это нарушает поиск DNS для веб-сервера компании. В настоящее время я работаю над этим, удаляя доступ для обновления к domain.tld, но оставляя его на месте для конкретных поддоменов AD, но это генерирует много ошибок (идентификатор события 5774) в журнале событий сервера Windows.

Кроме того, у сервера Windows есть вторая сетевая карта, которая подключается к диапазону частных IP-адресов (используется для системы телефонии VOIP), и этот адрес также устанавливается как запись A для domain.tld.

Есть ли способ ограничить / контролировать, что обновляет сервер Windows? Также приветствуются любые альтернативные предложения о том, как структурировать DNS в этой среде.