привет народы

<TLDR>
на свежеустановленном bind с включенным DNSSEC перестала резолвиться зона .org. Имена из остальных TLD резолвятся нормально. требуется помощь зала.
</TLDR>

с прошлой недели на паре свежеустановленных bind-ов наблюдается следующая картина:

[user@ns2 ~]$ sudo grep dnssec /etc/named.conf
    dnssec-enable yes;
    dnssec-validation yes;
    dnssec-lookaside auto;
[user@ns2 ~]$ dig centos.org @192.168.0.1

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.30.rc1.el6_6.1 <<>> centos.org @192.168.0.1
;; global options: +cmd
;; connection timed out; no servers could be reached

[zmike@ns2 ~]$ dig centos.org @192.168.0.1 +cd

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.30.rc1.el6_6.1 <<>> centos.org @192.168.0.1 +cd
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 4172
;; flags: qr rd ra cd; QUERY: 1, ANSWER: 1, AUTHORITY: 3, ADDITIONAL: 3

;; QUESTION SECTION:
;centos.org.            IN    A

;; ANSWER SECTION:
centos.org.        38    IN    A    85.12.30.227

;; AUTHORITY SECTION:
centos.org.        86020    IN    NS    ns4.centos.org.
centos.org.        86020    IN    NS    ns3.centos.org.
centos.org.        86020    IN    NS    ns1.centos.org.

;; ADDITIONAL SECTION:
ns1.centos.org.        86020    IN    A    199.187.126.93
ns3.centos.org.        86020    IN    A    88.208.217.170
ns4.centos.org.        86020    IN    A    62.141.54.220

;; Query time: 0 msec
;; SERVER: 192.168.0.1#53(192.168.0.1)
;; WHEN: Tue Feb 24 10:05:23 2015
;; MSG SIZE  rcvd: 146

эта проблема наблюдается только с зоной .org, с другими TLD такой проблемы не наблюдается:

[zmike@ns2 ~]$ dig microsoft.com @192.168.0.1

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.30.rc1.el6_6.1 <<>> microsoft.com @192.168.0.1
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 20198
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 4, ADDITIONAL: 8

;; QUESTION SECTION:
;microsoft.com.            IN    A

;; ANSWER SECTION:
microsoft.com.        3595    IN    A    134.170.185.46
microsoft.com.        3595    IN    A    134.170.188.221

;; AUTHORITY SECTION:
microsoft.com.        172791    IN    NS    ns3.msft.net.
microsoft.com.        172791    IN    NS    ns1.msft.net.
microsoft.com.        172791    IN    NS    ns4.msft.net.
microsoft.com.        172791    IN    NS    ns2.msft.net.

;; ADDITIONAL SECTION:
ns3.msft.net.        172791    IN    A    193.221.113.53
ns3.msft.net.        172791    IN    AAAA    2620:0:34::53
ns1.msft.net.        172791    IN    A    208.84.0.53
ns1.msft.net.        172791    IN    AAAA    2620:0:30::53
ns2.msft.net.        172791    IN    A    208.84.2.53
ns2.msft.net.        172791    IN    AAAA    2620:0:32::53
ns4.msft.net.        172791    IN    A    208.76.45.53
ns4.msft.net.        172791    IN    AAAA    2620:0:37::53

;; Query time: 2 msec
;; SERVER: 192.168.0.1#53(192.168.0.1)
;; WHEN: Tue Feb 24 10:07:03 2015
;; MSG SIZE  rcvd: 319

Если в /etc/named.conf отключить DNSSEC, .org имена резолвятся как из пушки.

Я совершенно не знаком с DNSSEC и понятия не имею, в какую сторону тут начинать рыть. Если кто-нибудь ткнет пальцем в нужном направлении, буду заранее благодарен :)