Используется программа проксирующая запросы к нормальному резолверу.Слушает по дефолту 443 порт.
pip3 install doh-proxy
openssl req -newkey rsa:2048 -nodes -keyout key.pem -x509 -days 365 -out certificate.pem
doh-proxy --upstream-resolver=127.0.0.1 --certfile=./certificate.pem --keyfile=./key.pem --listen-address xx.xx.xx.xx
После этого например в ff можно указать https://xx.xx.xx.xx в настройках сети.Судя по всему в случае недоступности прокси начинают работать системные нс-ы.

https://facebookexperimental.github.io/doh-proxy/