La porta 443 non rende dig un client DNSCrypt
Allineate il protocollo del resolver prima di cambiare la porta di destinazione di un helper DNS del proxy.
dig @resolver.example -p 443 +tcp invia una query DNS su TCP alla porta 443. Non negozia DNSCrypt.
Ciò conta quando si modifica un helper DNS del proxy perché usi un resolver cifrato. Un servizio può ascoltare su una porta familiare aspettandosi però un formato di trasmissione del tutto diverso.
Per la conversazione cifrata verso monte usate un componente resolver che conosca DNSCrypt. Se espone un'interfaccia locale di DNS semplice, un helper DNS tradizionale può interrogarla con l'indirizzo e la porta documentati.
Tenete espliciti entrambi i salti: dall'helper al resolver locale, poi dal resolver verso monte. Il funzionamento del primo salto non dimostra che il secondo segua la rotta proxy prevista.
La stessa distinzione vale per DNS over HTTPS e DNS over TLS. Cambiare un numero di porta in dig non è un adattatore di protocollo. Per un'interfaccia diversa, basata su HTTP, usate una query JSON via HTTPS a Google Public DNS. Verificate il contratto dell'endpoint prima di interpretare un timeout come un altro server SOCKS guasto.