Ich hab mal 'rndc trace 9' angeworfen und bin über "validator" auf "dnssec-validation yes;" in meiner config gestoßen. Das ist offenbar der Schalter mit destruktiver Wirkung - nur leider gibts den ausschließlich global und warum eine geforwardete Zone mal nicht signiert sein darf ist mir auch noch ein Rätsel.
Mit freundlichen Grüßen / Kind regards Ronny Seffner -- Ronny Seffner | Alter Viehweg 1 | 01665 Klipphausen
www.seffner.de | ronny@seffner.de | +49 35245 72950