В вашу ленту врываются беспощадные микротики с очередным грязным трюком. Итак, задача: свести к минимум возможность обхода вашего DNS-сервера, который выдаётся DHCP. На хитрые NGFW и прочее дорогое железо денег нет. Предлагаемый ответ: не выпускать ничего, чего нет в кэше вашего DNS. Очень коварно.