Попробуйте так
listen-on { <ip для внутренней сети>; 127.0.0.1; };
и еще
allow-query { <подсеть>/24; 127.0.0.1; };