Necessidade de especialista em IPTables, possivelmente com conhecimento do módulo u32

Question

Um cliente está enviando consultas contra os servidores-raiz do DNS no meu servidor DNS recursivo. Eu preciso bloquear isso com o iptables. Eu tentei 3 exemplos, mas não está funcionando.

0     0 DROP       udp  --  *      *       1.111.111.111        0.0.0.0/0            udp dpt:53 STRING match  "a.root-servers.net" ALGO name kmp TO 65535 /* root */
0     0 DROP       udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:53 u32 "0x1c&0xf8=0x0" STRING match  "a.root-servers.net" ALGO name bm FROM 40 TO 65535
0     0 DROP       udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:53 STRING match  "a.root-servers.net" ALGO name bm TO 65535

Alguma sugestão?