Для тех кто верит только Google =)
/tool fetch https://secure.globalsign.net/cacert/Root-R2.crt check-certificate=no dst-path=flash/ 
/certificate import file-name=flash/Root-R2.crt passphrase="" name="GlobalSign Root CA - R2" 
/ip dns set servers="" /ip dns set use-doh-server="https://dns.google/dns-query" verify-doh-cert=yes 
/ip dns set allow-remote-requests=yes 
/ip firewall nat add chain=dstnat protocol=udp dst-port=53 in-interface-list=!WAN action=redirect place-before=0 comment="redirect dns-query to local DNS"

Маразм с этим DoH. Провайдер перехватывает трафик? Используйте VPN. Организуйте сообщество свободного интернета, опубликуйте свои dns кэширующие. Вся эта канитель с DoH, скорей всего инициатива крупных гигантов, как раз с целью отобрать аудиторию у провайдера. Провайдер это легко разобьёт своими маршрутизатором в подарок абоненте преднастроенные, свои сервисы внутренние, о которых знает только локальный dns. И всё! Большинство недалёких сами выберут нужный им dns провайдера и не будет заморачиваться. А браузеры продажные козлы. Dns должен быть отдельной службой, отдельным протоколом, На отдельном порту. Dnssec - это край его эволюции.

А где статическая запись на dns.google ?
Кажется не сработает

Всемирный заговор ? :)
Днс не от провайдера для обхода блокировок и внесение цензуры, ваше право пользоваться или нет, а каким Днс пользуешься ты ?

Перед тем как запостить проверил у себя и здесь выложил.
Хотя в итоге я отключил DoH у себя, т.к. понял что мне нужна стабильность

Хорошо если работает, показалось на первый взгляд что что-то не хватает

Я у себя включил дома, но стояли раньше для обхода цензуры dns ipv6
И vpn... хватало, но когда падает канал с ipv6 ( туннель до электриков) то пропадал интернет на компах, не очень нравится так

Я пока свой unbound подымаю и опрашиваю корни DNS. Резервом провайдерский. Если жопа стала с моим сервером, то домочадцы без интернета не останутся.

Корни днс у тебя возможно поменяются провайдерскими :)

Чет не полная инструкция что ли. Не работает.