Bind9 & DNSSEC - Wie offline Situationen handhaben?

Aufbau

Ich habe einige DNS Server, Bind 9: (in LXC Containern)

1

        internet -> firewall -> DNS P (Öffentlich)

2

                                    ^

3

                                    |

4

8.8.8.8 DoT <- FW <- stunnel <- DNS D (DMZ) (Kann auch auf andere DNS Server im Internet zugreifen)

5

                                    ^

6

                                    |

7

                                DNS L (LAN) (Kann auch auf andere DNS Server im Internet zugreifen. Enthält ach werbeblocklisten.)

Die Server / Geräte im DMZ Netz greifen auf den DMZ DNS Server (D) zu. Die im Lan auf den LAN DNS (L) Server. Diese können nicht auf andere DNS Server zugreifen.

DNS L Forwardet alles nach DNS D. DNS D Forwarded die Zonen abrecht.li, danielabrecht.ch, und dpa.li, nach DNS P, der Rest geht momentan zum google resolver, abgesehen von eigenen Zohnen.

Ich habe eine Art Split-DNS.

Auf DNS P gibt es die Zonen abrecht.li, danielabrecht.ch, dpa.li, lan.abrecht.li, dmz.abrecht.li (und ein paar weitere). (Ich kann vom Browser aus von überall her auf alle Geräte zugreifen, ich habe da einen Webserver als Proxy dazwischen, mit TLS und eigener Single Sign On Lösung, darum die lan.abrecht.li und dmz.abrecht.li Zonen).

Auf DNS D gibt es dmz.abrecht.li und dhcp.dmz.abrecht.li. Das ist quasi mein Split DNS. Auf DNS P sind jeweils DS Keys für beide Zonen dmz.abrecht.li von beiden Servern in der Zone abrecht.li hinterlegt.

DNS L das selbe, für die Zonen lan.abrecht.li und dhcp.lan.abrecht.li.

Das Problem

Bei den DNS Servern hab ich die DNSSEC Validierung eingeschalten. Das funktioniert soweit auch einwandfrei. Nur liegt unter anderem die Zone li. und ch. nicht in meinem eigenen Netzwerk, heisst also, wenn das Internet ausfällt, und ich will www.abrecht.li oder so aufrufen, dann schlägt das fehl, weil DNS D und DNS L DNSSEC für den Eintrag nicht mehr validieren können.

Ich stehe da jetzt etwas auf dem Schlauch. Kann ich den beiden DNS Servern irgendwie sagen, dass mein DS Key für abrecht.li gültig ist / ausreicht, und sie da nicht alles von . auf validieren müssen?