Маскировка DNS: чем в домене или как "приклеить" dnsmasq?

[Николай1984]

Доброго времени суток!

Есть сеть - локалка, возможно с расширением в VPN - на около 100 компьютеров с совершенно разношерстными ОС - от XPsp2 до win10 и win2012server. Есть SambaADDC на U-14.04 и настроенная ActiveDirectory.
Самба работает через встроенный DNS-сервер+isc-dhcp.
Она же выступает как единственный DNS-ресолвер в сети (других ns нет, проброса "навне", минуя ее, тоже нет).

Есть n-ное количество dns-имен, в которые лазать участникам локсети в высшей мере нежелательно без контроля, т.е. как минимум должен регистрироваться факт обращения. А лучше - управлять и самой возможностью такого обращения
(n-ное количество юзеров любит запускать на своих компах, и в т.ч. на сервере 1C, ammyy-admin и благополучно забывают про него, не говоря уже о том, что мне бы хотелось знать, кто и когда подключался к какому компьютеру).

Задача: заставить nameserver считывать не только DNS-имена своей локальной зоны, но и иметь возможность прописать туда имена других зон - конкретно тех, которые надо контролировать - чтобы перенаправить их на IP-адрес внутреннего сервера, либо просто заглушить.

Курил в сторону dnsmasq, но он срубит и samba, и iscdhcp.
Что можно сделать с самбой, или как приклеить dnsmasq?

В далекой перспективе: очень бы хотелось сделать логирование dns - с какого компьютера на какой dns выполняется соединение и кто инициатор запроса. Но это задача второй очереди.

[AnrDaemon]

Настроить второй ресолвер (BIND, DNSMASQ), запарентить его на AD для разрешения локальной зоны, и пустить локальную сеть через него.
У меня так сделано. Самба AD в контейнере, на хосте BIND и https://help.ubuntu.ru/wiki/bind:fakeresolve

[Николай1984]

запарентить его на AD для разрешения локальной зоны

т.е. BIND выступает родителем SambaAD? я правильно понял?

[AnrDaemon]

Зависит от того, как именно у вас инициализирована AD.