问一下 unbound 配置

[imn1]

之前装了 unbound，通了就扔下了，现在想折腾一下
搜了一圈，想了解的问题没有详细例子

1.通配符问题
之前用的工具还算不错，可以用通配符写在任意位置，unbound 就没找到怎么写
例如 sub*.example.com ，*有上百个，用于拦截，但 example.com 以及 other_sub.example.com 并不想拦截
如果不能用通配符，或者不能这样写，我就要头疼了

另外，127.in-addr.arpa. 是否就包含了 1.0.0.127.in-addr.arpa.？
还是两个各自独立？

2.拦截怎么写
local-zone: "google-analytics.com" refuse
这样？
refuse 和 deny 有什么区别？

3.我有一批域名（白名单），打算 forward 到多个 dns，有没有简便写法
难道每个 name 都写若干条 forward-addr ？
实际还是墙内墙外问题


另外问问拦截用哪种方式返回，客户端处理最快？
1) 拒绝
2) 返回找不到域名
3) 返回 127.0.0.1 （由于本地 web 不存在请求路径，相当于直接 404 ）
之前感觉 3)最快，1)和 2)感觉都要换 DNS 二次查询产生轻微等待