Порт 443 не превращает dig в клиент DNSCrypt
Согласуйте протокол резолвера, прежде чем менять порт назначения DNS-помощника прокси.
dig @resolver.example -p 443 +tcp отправляет DNS-запрос по TCP на порт 443. Он не согласует DNSCrypt.
Это важно, когда DNS-помощник прокси меняют, чтобы он использовал шифрованный резолвер. Служба может слушать на привычном порту и при этом ожидать совершенно другой формат передачи.
Для шифрованного обмена с вышестоящей стороной используйте компонент резолвера, который понимает DNSCrypt. Если он предоставляет локальный интерфейс обычного DNS, обычный DNS-помощник может обращаться к нему по документированным адресу и порту.
Держите оба перехода раздельно: от помощника к локальному резолверу, затем от резолвера к вышестоящей стороне. Работа первого перехода не доказывает, что второй идёт по задуманному маршруту через прокси.
То же различие относится к DNS over HTTPS и DNS over TLS. Смена номера порта в dig не является адаптером протокола. Для другого интерфейса на основе HTTP используйте HTTPS JSON-запрос к Google Public DNS. Проверьте условия конечной точки, прежде чем считать тайм-аут очередным сломанным сервером SOCKS.