Сервер 2016: используйте политики DNS, чтобы разрешить запросы к определенному домену из определенной подсети

на общедоступном DNS-сервере, я хотел бы создать правило с помощью политики DNS разрешить трафик на определенный домен только из указанной подсети.

например, скажем, у нас есть домен contoso.com, но только хотите разрешить конкретной подсети для запроса этого (обратите внимание, что на этом сервере есть другие публично запрашиваемые Домены). Используя политики DNS, я могу легко блок определенная подсеть из запроса определенного домена, но я не могу понять, как разрешить определенная подсеть для запроса определенного домена.

следующие работы в блок:

Add-DnsServerQueryResolutionPolicy -Name "Disallow_Contoso" -Action IGNORE -ClientSubnet "EQ,LocalSubnet10.x" –FQDN "EQ,*.contoso.com" -PassThru

но следующее не работает разрешить:

Add-DnsServerQueryResolutionPolicy -Name "Allow_Contoso" -Action ALLOW -ClientSubnet "EQ,LocalSubnet10.x" –FQDN "EQ,*.contoso.com" -PassThru

ошибка, возвращаемая Powershell при выполнении второй команды:

Add-DnsServerQueryResolutionPolicy : Failed to create policy Allow_Contoso on DNS server DNS1. Please see internal exception for details.
At line:1 char:1
+ Add-DnsServerQueryResolutionPolicy -Name "Allow_Contoso" -Action ALLOW  ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo          : InvalidArgument: (Allow_Contoso:root/Microsoft/...esolutionPolicy) [Add-DnsServerQueryResolutionPolicy], CimException
+ FullyQualifiedErrorId : WIN32 87,Add-DnsServerQueryResolutionPolicy

кажется,-Action ALLOW не допускается в этом контексте, но я не могу подтвердить это на основе зашифрованного сообщения об ошибке.