在BIND中recursion转发区域

我有一个BIND设置的VPS。 它运行好几个月。

最近我想build立另一个DNS程序来pipe理这个VPS上的foo.example.org子域。 我已经在dns.he.net中设置了这些：

  foo.example.org。 在NS vps.exmaple.org。
 vps.example.org。  IN xx.xx.xx.xx 

由于BIND在53 / udp上侦听，因此我将它configuration为侦听端口5353和named.conf ：

区域“foo.example.org”{
 键入向前;
 转发器{127.0.0.1端口5353;  };
 }; 

我认为这个configuration会把*.foo.example.org所有查询*.foo.example.org到第二个DNS程序。 但是当我testing它…

• 在哪里放置活动目录集成的DNS服务器以及使用什么types
• 增加Cisco 800路由器上的最大DNSlogging大小
• 如何在切换域名注册商时保留MXlogging？
• 鱿鱼没有解决一个特定的url
• 具有/没有权限的DNS答案，附加部分

在VPS本身：

dig bar.foo.example.org @127.0.0.1 -p5353作品不错。

dig bar.foo.example.org @127.0.0.1工作良好。

在我的笔记本上：

dig bar.foo.example.org @vps.example.org -p5353作品不错。

dig bar.foo.example.org @vps.example.org工作良好。

dig foo.example.org @8.8.8.8 -t ns工作良好。

dig bar.foo.example.org @8.8.8.8返回SERVFAIL 。

replace8.8.8.8与其他DNS服务器得到相同的结果，并没有什么错误的TTL。

有没有人知道我的configuration有什么问题？ 这里是更多的信息：

其他BIND9configuration：

选项{
  目录“/ var / cache / bind”;
  通知是;
   allow-transfer {xx.xx.xx.xx;  };
   dnssec-enable是;
   dnssec-validation auto;
   auth-nxdomain no;  ＃符合RFC1035
   listen-on-v6 {any;  };
  recursion是的;
   allow-recursion {any;  };
 }; 

具体来说，“第二个DNS程序”是碘，它通过DNS查询将IP隧道化。 我按照这个指南来设置它在BIND9后面： http : //dev.kryo.se/iodine/wiki/TipsAndTricks#RunningiodinebehindBIND9

PS：我已经尝试使用dnsmasq设置另一台服务器，并使用server=/foo.example.org/127.0.0.1#5353进行testing。 仍然有错误。

谁能帮忙？ 提前致谢。