DNS BIND para DNSSEC Converting Forwarder

Question

Eu tenho um servidor DNS interno somente rodando no BIND 9.8.4 no Debian, isso recursa e armazena em cache todas as outras consultas além do domínio interno (ourdomain.lan) para o OpenDNS. O que eu espero fazer é ter todas as consultas internas protegidas ou não "convertidas" para serem protegidas quando ocorrer recursão, de modo que todas as consultas que saem da nossa rede sejam consultas DNSSEC.