Здравствуйте. Есть 3640 с прописанным dns-сервером:

ip dns server
ip name-server A.B.C.D
ip name-server A.B.C.E

Периодически возникают завирёванные клиенты, которые забивают своими DNS-запросами CPU под 90%. Хочу сделать так - для нормальных клиентов DNS даёт циска, а таких - пробрасывать прямо на A.B.C.D, поскольку резать их нельзя.

Делаю так:

access-list 153 permit udp any any eq domain

route-map dnsf permit 10
match ip address 153
set ip next-hop A.B.C.D

И, конечно:

interface FastEthernet3/0.1
ip policy route-map dnsf

Тем не менее, пакеты не пересылаются, а обрабатываются циской. Потому что если сделать no ip dns server, dns не разрешается.

Подскажите, пожалуйста, что я делаю не так? И есть ли более разумное решение проблемы?