Нашёл я где собака порылась. Bind 9 не умеет работать с DNSSEC когда используется форвардинг и зная это я установил на сервере addc1.ad.wsvirt.home в /etc/named.conf значения глобальных опций в качестве workaroubd:

dnssec-enable no; 
dnssec-validation no;

А сделать тоже самое на upstream сервере controller.wsvirt.home я забыл - там эти значения этих опции были установлены в yes, поменял их на  no и всё заработало. Вопрос использования DNSSEC с форвардингом - это уже другая история.

Благодарю  Licha Morada за участие и ценные советы.