Por que minha configuração de Bind RPZ funciona para um host, mas não para o outro (SERVFAIL)

Question

Eu tenho alguns hosts em um DMZ que precisam usar recursos LDAP na LAN. Nós não encaminhamos DNS para a LAN, então ao invés de adicionar entradas em /etc/hosts , eu decidi tentar uma zona BIN RPZ para lidar com DNS para manter todas as soluções em um lugar.

Parece funcionar para um host oldserver.internal.org , mas não para o outro ldap.mydom.com . Devo mencionar que ldap.mydom.com retorna um endereço roteável pela Internet de 8.8.8.8 (no entanto, não é utilizável para LDAP).

Por que recebo SERVFAIL ao consultar ldap.mydom.com ?

# nslookup ldap.mydom.com 192.168.1.4
Server:         192.168.1.4
Address:        192.168.1.4#53

** server can't find ldap.mydom.com: SERVFAIL


####### bind server #########

# /etc/bind/named.conf.options

...
   response-policy {
               zone "rpz";
   };
...


# /etc/bind/named.conf.local
...
      zone "rpz" in {
               type master;
               file "internal.rpz_zone.rpz";
      };
...
      zone "rpz" in {
               type master;
               file "external.rpz_zone.rpz";
      };
...



# /var/cache/bind/internal.rpz_zone.rpz
$TTL    300

@       IN SOA  myns1.mydom.com. (
            postmaster.mydom.com
            2016100805  ; serial
            1h          ; refresh
            15m         ; retry
            1w          ; expiry
            1h )        ; minimum

            IN NS myns1.mydom.com.
            IN NS myns2.mydom.com.


; we want internal DNS for this host
ldap.mydom.com            A        192.168.17.53
oldserver.internal.org    A        192.168.18.85

# /var/log/named.log
08-Oct-2018 09:52:18.550 queries: client 192.168.1.21#54254 (ldap.mydom.com): view internal: query: ldap.mydom.com IN A + (192.168.1.4)