La porta 853/TCP è registrata per DNS over TLS (DoT, RFC 7858), la 853/UDP per DNS over QUIC (RFC 9250). Android usa DoT per la funzione "DNS privato" e resolver come Unbound possono inoltrare le query agli upstream via DoT.
Aprila solo se gestisci un resolver DoT per i tuoi client – e limita l'accesso, altrimenti è un resolver aperto. In uscita la 853 dai server di solito non è un problema.
Tipico: le reti restrittive bloccano la 853 e Android segnala che il server DNS privato non è raggiungibile. DNS over HTTPS (DoH) sulla 443 è più difficile da bloccare, ma anche da controllare.
Verifica
kdig @dns.esempio.it +tls esempio.it A