DNS (bind 9)

наверное потому что после -d пишется тока ip/mask а порт указывается --destination-port ещё попробуй iptables -L -v и посмотри как твои правила выглядят. (c)man iptables

to last anonymous: ничего подобного, в ipchains это выглядит именно так, как приведено выше.

Мне кажется первые 2 пары правил можно объединить: там, где $ANYWHERE можно вообще не писать порт, и даже -s/-d $ANYWHERE можно не писать :-) Смысл не изменится :-)

На счет can't list domain:
я обычно сначала определяю какой-нибудь из nameserver-ов, ответственных за зону, потом в nslookup-е подключаюсь к этому серверу:
> server ns.domain.ru.
и смотрю:
> ls -d domain.ru.

Если все равно ничего не выходит - попробуй по чуть-чуть убирать правила из firewall (т.е. по немногу открывать), использовать "-l" в правилах, открыть все и tcpdump-ом посмотреть что куда идет,...

Кстати, а не может дела быть в настройках bind?
Привожу кусок настроек named.conf
options {

directory "/var/named";
listen-on { 111.111.111.111; };
forwarders {
222.222.222.222;
};
query-source address * port 53;
};