Le port 443 ne transforme pas dig en client DNSCrypt
Alignez le protocole du résolveur avant de changer le port de destination d'un assistant DNS du proxy.
dig @resolver.example -p 443 +tcp envoie une requête DNS sur TCP vers le port 443. Il ne négocie pas DNSCrypt.
Cela compte quand vous modifiez un assistant DNS du proxy pour qu'il utilise un résolveur chiffré. Un service peut écouter sur un port familier tout en attendant un format de trame radicalement différent.
Pour la conversation chiffrée vers l'amont, utilisez un composant de résolveur qui connaît DNSCrypt. S'il expose une interface locale de DNS simple, un assistant DNS classique peut l'interroger avec l'adresse et le port documentés.
Gardez les deux sauts explicites : de l'assistant au résolveur local, puis du résolveur vers l'amont. Le bon fonctionnement du premier saut ne prouve pas que le second suit la route proxy prévue.
La même distinction vaut pour DNS over HTTPS et DNS over TLS. Changer un numéro de port dans dig n'est pas un adaptateur de protocole. Pour une interface différente, fondée sur HTTP, utilisez une requête JSON en HTTPS vers Google Public DNS. Vérifiez le contrat du point de terminaison avant d'interpréter un délai d'attente comme un autre serveur SOCKS en panne.