Port 443 macht aus dig keinen DNSCrypt-Client
Gleichen Sie das Resolver-Protokoll ab, bevor Sie den Zielport eines Proxy-DNS-Helfers ändern.
dig @resolver.example -p 443 +tcp sendet eine DNS-Abfrage über TCP an Port 443. Es handelt dabei kein DNSCrypt aus.
Das ist wichtig, wenn ein Proxy-DNS-Helfer auf einen verschlüsselten Resolver umgestellt wird. Ein Dienst kann auf einem vertrauten Port lauschen und dennoch ein völlig anderes Übertragungsformat erwarten.
Für die verschlüsselte Verbindung zum vorgelagerten Server braucht es eine DNSCrypt-fähige Resolver-Komponente. Bietet sie eine lokale Schnittstelle für einfaches DNS, kann ein herkömmlicher DNS-Helfer diese über die dokumentierte Adresse und den dokumentierten Port abfragen.
Halten Sie beide Abschnitte getrennt: vom Helfer zum lokalen Resolver und dann vom Resolver zum vorgelagerten Server. Dass der erste Abschnitt funktioniert, beweist nicht, dass der zweite die beabsichtigte Proxy-Route nimmt.
Dieselbe Unterscheidung gilt für DNS over HTTPS und DNS over TLS. Eine geänderte Portnummer in dig ist kein Protokolladapter. Für eine andere, HTTP-basierte Schnittstelle nutzen Sie eine HTTPS-JSON-Abfrage an Google Public DNS. Prüfen Sie den Vertrag des Endpunkts, bevor Sie eine Zeitüberschreitung als weiteren defekten SOCKS-Server deuten.