Почему dig отвечает SERVFAIL, а nslookup разрешает нормально на локальной зоне powerdns?

Я немного нов в локальном DNS, поэтому хочу использовать 1 узел с IP 192.168.100.11 и auth + recursor + dnsdist на одном хосте. Auth-сервер должен разрешать только локальную зону (holodev.local в моем случае), recursor должен разрешать все, что не локально, и перенаправлять это на публичные DNS-сервера. Я настроил зону .local через PowerAdmin и добавил обратную зону 100.168.192.in-addr.arpa, которая содержит SOA-запись и PTR для моего nextcloud ‘98.100.168.192.in-addr.arpa PTR nextcloud.holodev.local‘. Основная зона содержит записи ns1 и ns2 (я не уверен в использовании ns2 на одном узле), SOA и A для nextcloud. У меня есть следующие конфигурации:

pdns.conf

[root@dns ~]# sed '/^\s*#/d;/^\s*$/d' /etc/pdns/pdns.conf 
dnsupdate=yes
launch=gmysql 
gmysql-host=localhost 
gmysql-user=pda 
gmysql-password=dnsdbpas1
gmysql-dbname=pda
local-address=127.0.0.1
local-port=5300
log-dns-queries=yes
security-poll-suffix=
setgid=pdns
setuid=pdns

конфигурация recursor

[root@dns ~]# sed '/^\s*#/d;/^\s*$/d' /etc/pdns-recursor/recursor.conf 
disable-syslog=no
forward-zones=holodev.local=127.0.0.1:5300
forward-zones-recurse=.=8.8.8.8
local-address=127.0.0.1
local-port=5301
logging-facility=1
loglevel=6
quiet=no
security-poll-suffix=
setgid=pdns-recursor
setuid=pdns-recursor

конфигурация dnsdist

[root@dns ~]# sed '/^\s*--/d;/^\s*$/d' /etc/dnsdist/dnsdist.conf 
setSecurityPollSuffix("")
setLocal('192.168.100.11')
addLocal('127.0.0.1')
newServer({address="127.0.0.1:5301", name="recursor"})
newServer({address="127.0.0.1:5300", name="authoritive", pool={"auth"}})
setServerPolicy(firstAvailable)
pc = newPacketCache(10000, {maxTTL=86400, minTTL=0, temporaryFailureTTL=60, staleTTL=60, dontAge=false})
getPool(""):setCache(pc)
addAction(NotRule(OrRule({makeRule("192.168.0.0/16"), makeRule("127.0.0.1")})), DropAction())

Вывод Dig (я использую CT под тем же гипервизором, но IP другой и только 1 DNS сервер в resolve.conf). И мне интересно, что внешние зоны работают нормально

[root@zabbix ~]# dig holodev.local @192.168.100.11

; <<>> DiG 9.16.23-RH <<>> holodev.local @192.168.100.11
;; глобальные опции: +cmd
;; Получен ответ:
;; ПРЕДУПРЕЖДЕНИЕ: .local зарезервирован для Multicast DNS
;; Вы в настоящее время тестируете, что происходит, когда запрос mDNS утечет в DNS
;; ->>ЗАГОЛОВОК<<- opcode: QUERY, статус: SERVFAIL, id: 7871
;; флаги: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: версия: 0, флаги:; udp: 512
;; СЕКЦИЯ ВОПРОСА:
;holodev.local.                 IN      A

;; Время запроса: 0 мс
;; СЕРВЕР: 192.168.100.11#53(192.168.100.11)
;; КОГДА: Сб Окт 26 02:43:05 UTC 2024
;; РАЗМЕР MSG  получен: 42

----------------------------

[root@zabbix ~]# dig google.com @192.168.100.11

; <<>> DiG 9.16.23-RH <<>> google.com @192.168.100.11
;; глобальные опции: +cmd
;; Получен ответ:
;; ->>ЗАГОЛОВОК<<- opcode: QUERY, статус: NOERROR, id: 12312
;; флаги: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: версия: 0, флаги:; udp: 512
;; СЕКЦИЯ ВОПРОСА:
;google.com.                    IN      A

;; СЕКЦИЯ ОТВЕТА:
google.com.             57      IN      A       142.250.203.206

;; Время запроса: 75 мс
;; СЕРВЕР: 192.168.100.11#53(192.168.100.11)
;; КОГДА: Сб Окт 26 02:53:12 UTC 2024
;; РАЗМЕР MSG  получен: 55

nslookup

[root@zabbix ~]# nslookup nextcloud.holodev.local 192.168.100.11
Сервер:         192.168.100.11
Адрес:        192.168.100.11#53

Неавторитетный ответ:
Имя:   nextcloud.holodev.local
Адрес: 192.168.100.98

Что я не понимаю и что вызывает статус: SERVFAIL? Я также могу использовать curl и ping для домена.