A porta 443 não transforma dig num cliente DNSCrypt
Alinhe o protocolo do resolvedor antes de mudar a porta de destino de um auxiliar DNS do proxy.
dig @resolver.example -p 443 +tcp envia uma consulta DNS por TCP para a porta 443. Não negocia DNSCrypt.
Isso importa ao modificar um auxiliar DNS do proxy para usar um resolvedor cifrado. Um serviço pode escutar numa porta familiar enquanto espera um formato de transmissão completamente diferente.
Para a conversa cifrada com a origem, use um componente de resolvedor que conheça DNSCrypt. Se ele expuser uma interface local de DNS simples, um auxiliar DNS convencional pode consultá-la com o endereço e a porta documentados.
Mantenha os dois saltos explícitos: do auxiliar ao resolvedor local e, depois, do resolvedor para a origem. O primeiro salto funcionar não prova que o segundo siga a rota de proxy pretendida.
A mesma distinção vale para DNS over HTTPS e DNS over TLS. Mudar um número de porta em dig não é um adaptador de protocolo. Para uma interface diferente baseada em HTTP, use uma consulta JSON por HTTPS ao Google Public DNS. Verifique o contrato do endpoint antes de interpretar um tempo esgotado como mais um servidor SOCKS avariado.