Jak psali jiní, ideální je mít DNS resolver přímo na localhostu (ať už "stub" – tedy pouze přeposílající jinam, nebo nějaký co umí/dělá více).
Dodal bych, že zmiňovaný knot-resolver také umí TLS, na straně serveru i klienta. Druhý směr jsme tam dopsali až dost nově (2.0.0 před dvěma měsíci).