DNSCrypt с BIND9 в Debian

Я застрял. Я пытаюсь использовать DNSCrypt после недавних изменений в законах об интернет-провайдерах в США. Вот моя установка:

• Два сервера Debian Jessie с BIND 9.9.5-9, полностью пропатченные (с использованием стабильной ветки)
• dnscrypt-proxy 1.9.4 (скомпилирован из исходных текстов с libsodium18 1.0.12)

Для тестирования , Я просто пытаюсь использовать резолверы OpenDNS с DNSCrypt. Моя цель - в конечном итоге отправить свой трафик на VPS, который я использую для пересылки на желаемые DNS-серверы. Важно, чтобы локальные серверы BIND также могли отвечать на запросы внутреннего DNS. У меня есть зона, которую мне нужно разрешить внутренне.

Я выполняю следующую команду, чтобы запустить dnscrypt-proxy:

dnscrypt-proxy -R cisco -a 127.0.1.2 -d -L /usr/share/dnscrypt-proxy/dnscrypt-resolvers.csv -l /var/log/dnscrypt-proxy -m 6 -p /var/run/dnscrypt-proxy

(cisco предварительно определена во включенном списке совместимых преобразователей. Это серверы OpenDNS).

Я могу проверить, работает ли это с помощью следующей команды:

dig @127.0.1.2 serverfault.com

Она возвращается с правильным поиском.

Затем я настраиваю BIND с сервером пересылки 127.0.1.2, и здесь он перестает работать. Если я сейчас запустил команду dig против 127.0.0.1 , я получу ошибку SERVFAIL , но копать против 127.0.1.2 по-прежнему работает .

В дополнение к этому, выполнение pcap с моего маршрутизатора показывает множество исходящих DNS-запросов через порт 53 (вместо 443, используемого dnscrypt) к различным корневым серверам.

Итак, в конечном итоге:

• Что делать Мне нужно сделать, чтобы BIND9 правильно пересылал запросы через туннель DNSCrypt?
• Как отключить BIND9 от отправки данных на корневые серверы (я ' Я видел это в своей школе, но не знаю, как они это сделали. Это необходимо, потому что, если все компьютеры подключены к AD и нет Wi-Fi, это можно исправить, выполнив вход "Сброс пароля" на стороне входа. Итак, как мне сделать, чтобы в окне входа в систему Windows отображался текст Сброс пароля или текст Забыли пароль , и когда пользователи нажимали на этот текст, затем отображалась страница?

  Здесь это страница Univention, если кто-то не знает (это с использованием samba 4.6): https://www.univention.com/

  Я надеюсь, что кто-то использует Univention, и я не писал свой вопрос и объяснение на китайском языке язык. : D