是否要使用未绑定和 nsd 的 CNAME 来强制执行 google 安全搜索？

Question

我正在尝试使用 Unbound 和 Nsd 实现这一点：https://support.google.com/websearch/answer/186669?hl=en

要强制对您的网络进行安全搜索，您需要更新 DNS 配置。将 www.google.com（以及您的用户可能使用的任何其他 Google ccTLD 国家/地区子域）的 DNS 条目设置为 forcesafesearch.google.com 的 CNAME。

我们将针对此 VIP 上收到的请求提供安全搜索和图像搜索结果

我目前已将 pfsense 2.3 中的 Unbound 设置为递归 DNS 解析器。对 Google 的请求被转发到正在监听 localhost 的 BIND。BIND 使用 RPZ（响应策略区域）并将其转发到 google DNS 服务器 8.8.8.8。HK1 的回答中也采用了类似的方法：

https://superuser.com/questions/826426/how-can-you-satisfy-googles-requirement-to-enforce-safesearch-at-the-network-

互联网上的所有帖子都使用主机覆盖，除了上述示例。如果 IP 地址发生变化，则需要手动更改 conf 文件，这不是最可靠的选择。为了提高性能、节省空间（旧硬件）和可能的安全性增强，我想用 Nsd 替换 Bind。我希望 Unbound 能够完成所有解析。查看文档和论坛并没有得到任何有用的结果。在有限的测试中，我在运行 dig 时总是会遇到 SERVFAIL。

我尝试过这个：

未绑定的配置文件

...
do-not-query-localhost: no
...
stub-zone:
    name: "google.com."
    stub-addr: 127.0.0.1@5353

stub-zone:
    name: "www.google.com."
    stub-addr: 127.0.0.1@5353

stub-zone:
    name: "google.com.au."
    stub-addr: 127.0.0.1@5353

stub-zone:
    name: "www.google.com.au."
    stub-addr: 127.0.0.1@5353
...

配置文件

...
server:
ip-address: 127.0.0.1
port: 5353
...
zone:
name: "google.com"
zonefile: "google.com.zone"

zone:
name: "google.com.au"
zonefile: "google.com.au.zone"

zone:
name: "www.google.com"
zonefile: "www.google.com.zone"

zone:
name: "www.google.com.au"
zonefile: "www.google.com.au.zone"
...

区域文件：

$TTL 60
@ IN SOA localhost. root.localhost. (
    2017050500;
    10800;
    3600;
    604800;
    10800 )
    IN      NS      localhost.
;
; Google forced Safe Search zone and data
google.com              CNAME forcesafesearch.google.com.
www.google.com          CNAME forcesafesearch.google.com.
google.com.au           CNAME forcesafesearch.google.com.
www.google.com.au       CNAME forcesafesearch.google.com.
...

是否可以使用 Nsd 进行 Google 的安全搜索，如果可以，如何使用？（如果需要较新的版本，可以切换到 ubuntu 服务器）

任何帮助，将不胜感激。