Como impor a pesquisa segura do google usando CNAME com unbound e nsd?

Question

Estou tentando implementar isso usando o Unbound e o Nsd: link

To force SafeSearch for your network, you’ll need to update your DNS. configuration. Set the DNS entry for www.google.com (and any other Google ccTLD country subdomains your users may use) to be a CNAME for forcesafesearch.google.com.

We will serve SafeSearch Search and Image Search results for requests that we receive on this VIP

Atualmente tenho Unbound no pfsense 2.3 definido como um resolvedor de DNS recursivo. As solicitações do Google são encaminhadas para o BIND, que está ouvindo no host local. O BIND está usando um RPZ (zona de política de resposta) e o encaminha para o servidor DNS do Google 8.8.8.8. Uma abordagem semelhante é encontrada na resposta do HK1:

link

Todas as postagens na Internet usam a substituição do host, exceto o exemplo acima. Se o endereço IP mudar, os arquivos conf precisarão ser alterados manualmente, o que não é a opção mais confiável. Para desempenho, área de cobertura (hardware antigo) e possíveis aprimoramentos de segurança, gostaria de alternar o Bind with Nsd. Eu gostaria que o Unbound fizesse todas as resoluções. Procurando em documentação e fóruns não levou a resultados frutíferos. Com testes limitados, sempre recebo SERVFAIL ao executar a escavação.

Eu tentei isso:

Unbound.conf

...
do-not-query-localhost: no
...
stub-zone:
    name: "google.com."
    stub-addr: 127.0.0.1@5353

stub-zone:
    name: "www.google.com."
    stub-addr: 127.0.0.1@5353

stub-zone:
    name: "google.com.au."
    stub-addr: 127.0.0.1@5353

stub-zone:
    name: "www.google.com.au."
    stub-addr: 127.0.0.1@5353
...

Nsd.conf

...
server:
ip-address: 127.0.0.1
port: 5353
...
zone:
name: "google.com"
zonefile: "google.com.zone"

zone:
name: "google.com.au"
zonefile: "google.com.au.zone"

zone:
name: "www.google.com"
zonefile: "www.google.com.zone"

zone:
name: "www.google.com.au"
zonefile: "www.google.com.au.zone"
...

Arquivo de zona:

$TTL 60
@ IN SOA localhost. root.localhost. (
    2017050500;
    10800;
    3600;
    604800;
    10800 )
    IN      NS      localhost.
;
; Google forced Safe Search zone and data
google.com              CNAME forcesafesearch.google.com.
www.google.com          CNAME forcesafesearch.google.com.
google.com.au           CNAME forcesafesearch.google.com.
www.google.com.au       CNAME forcesafesearch.google.com.
...

É possível usar o Nsd para a pesquisa segura do Google? Em caso afirmativo, como? (Se for necessária uma versão mais recente, é possível mudar para o servidor Ubuntu)

Qualquer ajuda seria apreciada.