DNSサーバの更新で特定ドメイン名前解決のためのtype forwardができなくなった。

特定ドメインの名前の解決を他のサーバへforwardしようとしているのですが、
2012年調整のdebian＋bind.9.8.4からCentos＋BIND 9.9.4-RedHat-9.9.4-73.el7_6 (Extended Support Version)に移行するのですが、
type　forwardがうまく動作をしていません。

/var/log/messages
Feb 28 11:11:34 proxy2019 named[5413]: network unreachable resolving 'example.jp/DS/IN': 2a01:8840:1ba::25#53
Feb 28 11:11:34 proxy2019 named[5413]:  validating example.jp/SOA: got insecure response; parent indicates it should be secure
Feb 28 11:11:34 proxy2019 named[5413]: no valid RRSIG resolving 'www.example.jp/DS/IN': 192.168.2.11#53
Feb 28 11:11:34 proxy2019 named[5413]: no valid DS resolving 'www.example.jp/A/IN': 192.168.2.11#53

これ以外の名前の解決はうまくいっています。

/etc/named.conf
options {

        listen-on port 53 {
         127.0.0.1;
         192.168.0.0/24;
     };

        listen-on-v6 port 53 { ::1; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        recursing-file  "/var/named/data/named.recursing";
        secroots-file   "/var/named/data/named.secroots";
        //allow-query     { localhost; };
        allow-query     { any; };

        recursion yes;

        dnssec-enable yes;
        dnssec-validation yes;

        /* Path to ISC DLV key */
        bindkeys-file "/etc/named.iscdlv.key";

        managed-keys-directory "/var/named/dynamic";

        pid-file "/run/named/named.pid";
        session-keyfile "/run/named/session.key";
};

logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};

zone "." IN {
        type hint;
        file "named.ca";
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";
include "/var/named/named.conf.local";

/var/named/named.conf.local
zone "example.jp" {
        type forward;
        forwarders {192.168.2.11;};
        forward only;
};

zone "example.local" {
  type master ;
  file "/var/named/example.local.zone" ;
};

192.168.2.11サーバへはtelnetで53番ポートへも通ります。

旧DNSと新DNSではoptionsの記述が増えたようですが、その部分はデフォルトを基本にしています。
検索してみるとdnssecの関係ではという記述がありますが、
dnssec-enable yes;
dnssec-validation yes;
をコメントアウトしても変わりません。