Мне иногда кажется, что люди умеющие починять DNS, они не от мира сего. Потому что только ты думаешь что тебя ничем не удивить, а тут бац, и всплывают какие-то совершенно новые для тебя вещи. Вот тут примерно так же: жили ребята с кэширующим unbound и резолвером на VPC, а потом стали замечать накопление SERVFAIL, а потом их стало становиться всё больше и больше. И вроде всё шло к резкому погруснению, но успели перенастроить балансировщик. https://stripe.com/blog/secret-life-of-dns