Asegurar servidores de DNS en una lan?

[asm_mripZ]

Saludos, bueno necesito que alguien me ayude con una duda que tengo con respecto a los servidores dns dentro de una lan, he estado investigando sobre el spoofing el cual ataca ciertos servicios, pero si tengo un servidor de dns(independiente de internet) en una lan como se puede ver afectado este si se tiene la siguiente estructura de red:
Internet
|
|
router
|
|
(interfaz externa)
FIREWALL

|
|
Interfaz (Trusted)
LAN


Dentro de mi interfaz (trusted) esta el controlador de dominio, el cual esta realizando también la función de servidor de dns. Si tengo esta configuración como me puede afectar un ataque al servicio de DNS.

También quisiera consultar si no esta de más activar el firewall del router (para el filtrado de paquetes , restringiendo el acceso externo a la red evitando direcciones de difución, y evitando paquetes de entrada con una dirección fuente de la red interna, paquetes con direcciones privadas , también con 127.0.0.1 y ceros en algunos de sus octetos) y como filtro de salida asegurar que los paquetes salientes contengan como dirección fuente de direcciones externas a la red.

En cuanto al servicio de dns teniendo estas consideraciones:
- Deshabilitando la recursividad o restringiendo las direcciones a las que el dns responde.

PD: el servidor es windows Advance server corriendo active directory.

Gracias de antemano.