>>683が書いてるけどunboundあたりをRPi3に入れるのが良いと思う。
LAN内にDNSフォワーダ兼キャッシュがあるといろいろ便利だし。
Appleの更新用サーバの全IPアドレスを把握していて今後の変更にも迅速に対応するというなら
iptablesでやるのでもダメとは言わないけど。