El puerto 443 no convierte dig en un cliente DNSCrypt
Ajuste el protocolo del resolutor antes de cambiar el puerto de destino de un asistente DNS del proxy.
dig @resolver.example -p 443 +tcp envía una consulta DNS por TCP al puerto 443. No negocia DNSCrypt.
Eso importa al modificar un asistente DNS del proxy para que use un resolutor cifrado. Un servicio puede escuchar en un puerto conocido mientras espera un formato de trama completamente distinto.
Use un componente de resolutor que entienda DNSCrypt para la conversación cifrada con el origen. Si expone una interfaz local de DNS simple, un asistente DNS convencional puede consultarla con la dirección y el puerto documentados.
Mantenga ambos saltos explícitos: del asistente al resolutor local y, después, del resolutor al origen. Que el primer salto funcione no demuestra que el segundo siga la ruta de proxy prevista.
La misma distinción vale para DNS over HTTPS y DNS over TLS. Cambiar un número de puerto en dig no es un adaptador de protocolo. Para una interfaz distinta basada en HTTP, use una consulta JSON por HTTPS a Google Public DNS. Compruebe el contrato del extremo antes de interpretar un tiempo de espera como otro servidor SOCKS averiado.