Есть непростая задача с доменами

Возможно ли организовать такую схему на bind9?

Да. Bind вообще создан для любителей извращенных конфигураций dns.

И можно ли настроить, чтобы на данном сервере была полная структура всего домена workspace.ru, синхронизировать с другими серверами?

Да. Обычная схема primary/seconday. Secondary может быть сколько угодно.

192.168.10.2 и 192.168.20.2 это windows сервера на которых крутится AD и DNS сервера, т.е. ретранслятор dns запросов ns.workspace.ru ничего не знает что творится в DNS на данных серверах

В зоне на bind'е прописывается что-то типа

xxx.workspace.ru.    IN    NS    w-ns.workspace.ru.
w-ns.workspace.ru.  IN    A      192.168.20.2

...и запросы для самого xxx.workspace.ru и его поддоменов пойдут на 192.168.20.2

Вполне. Делаешь forward-зону xx.workspace.ru, в ней указываешь мастера зоны, и тогда он будет отдавать ответы, получая их от 20.2 Какой DNS стоит без разницы, хоть баш-скрипт напиши, главное чтобы по стандарту отдавал как положено.

С ретрансляцией зон понятно. А вот как быть если зона workspace.ru обслуживается сервером 192.168.10.2 на котором стоит AD и DNS и вся внутренняя сеть работает через него, а сервер ns.workspace.ru (192.168.0.2) на котором есть несколько записей (mx, spf, dkim и нескольких публичных серверов) для внешнего мира. Т.е. получается что одну и туже зону workspace.ru обслуживают разные сервера которые не знают о друг друге один для внешнего мира, а другой для внутренней сети. Как быть в таком случае?

Делаются разные зоны - внутр и внешн. В каждой определяется мастер и слейв. Настраиваются view на отдачу, если это bind.

например, внутренняя зона: мастер - АД, слейв - роутер. Внешняя зона: мастер - роутер.

настраивается xfer зон в разных view: по tsigам или по source ip.

Зоны действительно независимы и обслуживаются независимо.

Так и в чём проблема прописать в DNS AD ns/mx? Эта машина не обязана входить в домен, ns - это общепринятое обозначение name server-а, но не обязательное, а mx будет конфликтовать только если у вас уже есть какой-нибудь exchange в AD. Внешке будете отдавать зону с только ns/mx, а изнутри - всё сразу. В /etc/resolv.conf даже на внешней машине можно записать адрес DNS из AD.

Наверно не ясно изъяснился. Изначально было 2 сервера которые обслуживали свои зоны 192.168.10.2 (workspace.ru; aaa.workspace.ru; bbb.workspace.ru) 192.168.20.2 (xxx.workspace.ru только одна зона). Т.е. у вышестоящего DNS сервера было 2 записи xxx.workspace.ru это один сервер 192.168.20.2, а все остальные на 192.168.10.2. Вышестоящий DNS сказал чтобы мы сами разруливались с зонами, а он сделает запись на одну зону workspace.ru. И если с субдоменами нет проблем, то вот с основной зоной (workspace.ru) получается что есть. Так как держателем зоны со стороны вышестоящего DNS будет новый сервер, а для внутренней сети старый. На новом сервере должны быть записи A MX SPF DKIM DMARK. Основные записи можно сделать вручную, а как быть с обычными АРМ и серверами их достаточно много. Можно как то их вытаскивать со старого сервера? Или как быть?