É possível ocultar um registro de domínio de uma consulta "any" no bind9?

Question

Digamos que eu tenha example.com. Neste domínio existem serviços públicos, como o www, o mail, etc. Eles terão registros como:

www in A 1.2.3.4
mail in A 1.2.3.4

Então eu também tenho uma VPN em outro local, então quero adicionar este registro:

vpn in A 5.6.7.8

Mas se alguém quiser consultar meu domínio, ele poderá ser executado:

dig example.com any

Que retornará

www in A 1.2.3.4
mail in A 1.2.3.4
vpn in A 5.6.7.8

Mas quero que vpn seja excluído dessa lista. O IP só seria visível para alguém que sabe que o subdomínio existe em primeiro lugar. (Sim, eu sei que isso não é strong segurança)