[Solved] Restricted bind и разрешение имён из корневой зоны

Есть локальная сеть.
В ней локализуется некий DNS-сервер (у которого есть и "белый" IP-адрес, но ничего не изменится, если буду считать его адресом 192.168.1.1). Который в том числе держит зону для локальной сети, состоящей из нескольких подсетей (допустим 192.168.1.0/24 и 192.168.2.0/24).

Доступ к кэшу ограничен:

acl machines { 127.0.0.0/8;
                192.168.1.0/24;
                192.168.2.0/24;
                !any;
                };

И соответственно в объявлении зон:

zone "mydomain.ru" {
        type master;
        file "master/mydomain.ru";
        allow-query { machines; };
        allow-transfer { none; };
        };

Когда с кэшем работает машина из сети, где у сервера есть интерфейс (192.168.1.0/24) --- всё замечательно работает.
Когда машина из сети, где у сервера нет интерфейса (192.168.2.0/24) спрашивает адрес локальной зоны --- всё тоже работает замечательно.
Но когда машина из сети 192.168.2.0/24 запрашивает внешний адрес (nslookup www.ru или nslookup ya.ru), то получает облом.
На терминале клиента (M$ Window$) оно выглядит следующим образом:

nslookup ya.ru
Server:  bind.mydomain.ru
Address:  192.168.1.1

*** bind.mydomain.ru can't find ya.ru: Query refused

В логах сервера:

Sep 14 09:19:02 bind named[2778]: client 192.168.2.105#2802: query (cache) 'ya.ru/A/IN' denied
Sep 14 09:19:52 bind named[2778]: client 192.168.2.105#2806: query (cache) 'www.ru/A/IN' denied

Оно так и должно быть???