Как защитить днс сервер?
Я бы вообще закрыл его снаружи. Ибо не зачем. Что творится внутри вашей сетки должно там и оставатся. 
Если есть сайт снаружи, то у хостера и держите днс. 

Это конечно ИМХО, но такой сценарий снимает с вас кучу головной боли и ставит четкую границу между внутренней сеткой и диким интернетом. В идеале открытым наружу должен быть только vpn.
Открытый днс доступен для всех
Или ограничьте его по ip адресам