Por que meu dnsmasq recusa consultas DNS de seus próprios clientes DHCP locais?

Eu configurei dnsmasqem uma máquina Linux agindo como um roteador simples baseado em NAT. As máquinas internas recebem um IP atribuído e têm acesso à Internet funcionando, exceto que as consultas DNS não são resolvidas.

O endereço interno da máquina do roteador é 10.42.0.1. Um dos clientes está atribuído 10.42.0.101.

Na máquina cliente:

user@client:~$ dig google.com @10.42.0.1
...
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 18466
...

O Wireshark confirma que a consulta é recebida por 10.42.0.1 e imediatamente recusada por resposta do DNS.

Conteúdo de /etc/dnsmasq.d/nat-clients

(Endereços MAC anonimizados)

bind-interfaces
no-hosts
strict-order

except-interface=lo
listen-address=10.42.0.1

dhcp-range=10.42.0.10,10.42.0.100,12h
dhcp-option=option:router,10.42.0.1
dhcp-host=00:11:22:33:44:55,billy,10.42.0.101
dhcp-host=55:66:77:88:99:00,sally,10.42.0.102

Além disso, /etc/dnsmasq.confsão apenas comentários.

Conteúdo do /etc/resolv.confroteador

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 10.0.0.5
nameserver 10.0.0.6
search domain.company.com

Conteúdo do /etc/resolv.confcliente

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 10.42.0.1

Estou faltando uma diretiva de configuração que permita dnsmasqencaminhar / resolver consultas de DNS do cliente?