При использовании DNS over TLS (DoT) — происходит TCP-подключение на порт 853 DNS сервера и весь DNS-трафик передается в зашифрованном виде.

Для включения DNS over TLS, необходимо, чтобы в pfSense был включен сервис DNS Resolver. Переходим в настройку данного сервиса: Services -> DNS Resolver.

1. В пункте Network Interfaces указываем интерфейсы, на которых будем принимать DNS запросы от пользователей (LAN интерфейсы).
2. В пункте Outgoing Network Interfaces указываем интерфейсы, через которые будем отправлять DNS запросы (WAN интерфейсы).
3. Включаем DNSSEC, DNS Query Forwarding и Use SSL/TLS for outgoing DNS Queries to Forwarding Servers.
4. В разделе Advanced settings активируем Prefetch Support, Prefetch DNS Key Support и Harden DNSSEC Data.

В разделе System -> General setup укажем, к каким DNS серверам будем обращаться. Важно, чтобы данные сервера поддерживали технологию DNS over TLS. В качестве таких серверов можно использовать Google DNS (8.8.8.8) и Cloudflare DNS (1.1.1.1).