Как настроить DNS over TLS?

Устанавливаем stunnel

dnf install stunnel

Добавляем конфигурацию stunnel.conf

cat << EOF > /etc/stunnel/stunnel.conf
pid = /run/stunnel.pid 

options = NO_SSLv3 
options = NO_TLSv1  
options = NO_TLSv1.1 

[dns-google] 
client = yes 
accept = 127.0.0.1:1053 
connect = 8.8.8.8:853 
verifyChain = yes 
CAfile = /etc/stunnel/Root-R2.pem 
checkHost = dns.google 
cert = dns.crt 
key = dns.key
EOF

wget https://secure.globalsign.net/cacert/Root-R2.crt
openssl x509 -inform DER -in Root-R2.crt -out Root-R2.pem -text

Создаём самоподписанный сертификат для подключения к вышестоящему серверу

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /etc/stunnel/dns.key -out /etc/stunnel/dns.crt \
-subj '/C=RU/ST=Moscow/L=Moscow/CN=SpecialistOff.NET'

Добавляем настройки в named.conf

...

server 127.0.0.1 {
    tcp-only yes;
};
...
options {
...
    forwarders {
        127.0.0.1 port 1053;
    };
...
};
...

Запускаем stunnel и перезапускаем named