Port 853/TCP ist für DNS over TLS (DoT, RFC 7858) registriert, 853/UDP für DNS over QUIC (RFC 9250). Android nutzt DoT für die Funktion „Privates DNS“, Resolver wie Unbound können Anfragen per DoT an Upstreams weiterleiten.
Offen nur, wenn Sie bewusst einen DoT-Resolver für eigene Clients betreiben – und dann mit Zugriffsbeschränkung, sonst ist es ein offener Resolver. Ausgehend ist 853 für Server meist unproblematisch.
Typisch: In restriktiven Netzen wird 853 blockiert und Android meldet „Privater DNS-Server nicht erreichbar“. DNS over HTTPS (DoH) über 443 ist schwerer zu blocken, aber auch schwerer zu kontrollieren.
Prüfen
kdig @dns.beispiel.de +tls beispiel.de A