iptablesにおいて、新しい接続要求の最初のパケットのみにマッチさせるフラグはどれか。

DNSSECにおいて、ゾーン内のレコードが存在しないことを証明するために使用されるレコードはどれか。