dig получает ответ от bind9, а host, nslookup и postfix - нет

Я только что обновил свой рабочий почтовый сервер с Ubuntu 14.04 до 16.04, что вызвало множество проблем. {{1 }} Одна из проблем, которую я не смог решить, заключается в следующем: Я запускаю кэширующий DNS bind9 с довольно стандартной конфигурацией:

named.conf.options:

acl goodclients {
  10.12.0.0/24;
  localhost;
  localnets;
};
options {
  directory "/var/cache/bind";
  dnssec-validation auto;
  recursion yes;
  allow-query { goodclients; };
  auth-nxdomain no;    # conform to RFC1035
  listen-on-v6 { any; };
};

Обычные запросы отлично работают со всеми клиентами . (все на localhost)

Однако, если я попытаюсь разрешить, например, lux.smtp-out.eu-west-1.amazonses.com , я получу правильный ответ от dig :

; <<>> DiG 9.10.3-P4-Ubuntu <<>> lux.smtp-out.eu-west-1.amazonses.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 27309
;; flags: qr rd ra; QUERY: 1, ANSWER: 16, AUTHORITY: 8, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;lux.smtp-out.eu-west-1.amazonses.com. IN A

;; ANSWER SECTION:
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.143
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.142
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.139
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.200
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.136
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.201
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.203
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.205
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.202
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.138
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.137
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.141
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.206
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.204
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.140
lux.smtp-out.eu-west-1.amazonses.com. 900 IN A  176.32.127.207

;; AUTHORITY SECTION:
amazonses.com.      171390  IN  NS  pdns4.ultradns.org.
amazonses.com.      171390  IN  NS  pdns5.ultradns.info.
amazonses.com.      171390  IN  NS  pdns1.ultradns.net.
amazonses.com.      171390  IN  NS  pdns6.ultradns.co.uk.
amazonses.com.      171390  IN  NS  ns1.p31.dynect.net.
amazonses.com.      171390  IN  NS  ns2.p31.dynect.net.
amazonses.com.      171390  IN  NS  pdns2.ultradns.net.
amazonses.com.      171390  IN  NS  pdns3.ultradns.org.

;; Query time: 21 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Wed Nov 23 10:21:22 CET 2016
;; MSG SIZE  rcvd: 539

Однако от nslookup я получаю

;; Truncated, retrying in TCP mode.
Server:     127.0.0.1
Address:    127.0.0.1#53

** server can't find lux.smtp-out.eu-west-1.amazonses.com: REFUSED#

и от хоста

Host lux.smtp-out.eu-west-1.amazonses.com not found: 5(REFUSED)

, что более важно, postfix отклоняет электронные письма с этого адреса, потому что он не может разрешить имя хоста.

Вот журнал запросов bind9:

client 127.0.0.1#39803 (lux.smtp-out.eu-west-1.amazonses.com): query: lux.smtp-out.eu-west-1.amazonses.com IN A +E (127.0.0.1)
client 127.0.0.1#40264 (lux.smtp-out.eu-west-1.amazonses.com): query: lux.smtp-out.eu-west-1.amazonses.com IN A + (127.0.0.1)

Первая запись - из запроса dig, вторая запись - из nslookup (то же самое для других клиентов). Единственное отличие - это флаг E для edns0.

То, что я уже пробовал:

• очистил и переустановил bind9, я только отредактировал named.conf.options, показанный выше
• отключил брандмауэр с такими же результатами

На данный момент я в тупике ...