Порт 443 не робить dig клієнтом DNSCrypt
Узгодьте протокол резолвера, перш ніж змінювати цільовий порт помічника DNS для проксі.
dig @resolver.example -p 443 +tcp надсилає DNS-запит через TCP на порт 443. Він не узгоджує DNSCrypt.
Це важливо, коли змінюєте помічник DNS для проксі, щоб використовувати зашифрований резолвер. Сервіс може слухати на звичному порту, очікуючи цілком інший формат передавання.
Використовуйте компонент резолвера, що знає DNSCrypt, для зашифрованого зв'язку з висхідним сервером. Якщо він надає локальний звичайний DNS-інтерфейс, звичайний помічник DNS може запитувати цей інтерфейс за документованою адресою та портом.
Тримайте обидва кроки явними: помічник до локального резолвера, далі резолвер до висхідного. Робота першого кроку не доводить, що другий іде запланованим маршрутом проксі.
Та сама різниця стосується DNS over HTTPS і DNS over TLS. Зміна номера порту в dig не є адаптером протоколу. Для іншого інтерфейсу на основі HTTP використовуйте HTTPS JSON-запит до Google Public DNS. Перевірте умови кінцевої точки, перш ніж тлумачити тайм-аут як ще один зламаний SOCKS-сервер.