La fuerza de la resolución de DNS ocurrir fuera de VPN

Tengo una situación similar en la que tengo que usar una mano pesada, portal cautivo, conexión Wi-Fi con una muy torpe, muy espeluznante firewall virtual. No sólo snoop sobre conexiones seguras, suplanta servidor DNS IPs, mediante DPI (cuando se detecta la petición).

Lo único que me funciona es ir sobre la parte superior de la VPN/firewall en lugar de intentar colarse en virtud de ello, el uso de dnscrypt-proxy utilizando sólo DNS sobre HTTPS, ya que puede detectar la dnscrypt protocolo. Ahora, no es consciente de DNS sobre HTTPS.

Me implementar el uso de un LaunchAgent de que los relojes /etc/resolve.conf para los cambios, y cuando se detecta un cambio, se reinicia dnscrypt-proxy, entonces se ejecuta networksetup -setdnsservers Wi-Fi 127.0.0.1.

A un lado: he estado utilizando Quad9 por un tiempo ahora, y lo prefiero a Google y CloudFlare.

Edit: Después de jugar un poco más con esto, estoy notando que (de alguna manera, ni siquiera he dado cuenta de que el tráfico hacia/desde), las direcciones IPv6 son de alguna manera se resuelve con ::1 como un servidor de DNS, incluso si no hay otros servidores DNS conjunto. Así que, probablemente, mejor simplemente deshabilitar IPv6 si se puede.

Edit 2:

Sí, yo creo que ser capaz de dividir que la ruta podría ser simplemente demasiado que ver con el más reciente sistema de nivel de implementación VPN; creo DNS proxy es probablemente su mejor apuesta. Podría ser posible eliminar ipsec0 como la ruta predeterminada y, a continuación, agregarlo para un restringido rango de IP... pero cada vez que lo intento (con IKEv2, no AnyConnect, pero estoy asumiendo que están usando la misma API) simplemente... se detiene.

Como para el tráfico residual, tal vez su Cita? sudo killall -HUP mDNSResponder; sudo launchctl unload -w /System/Library/LaunchDaemons/com.apple.mDNSResponder.plist?

También, tal vez usted podría ser capaz de utilizar una aplicación como Shimo? Está disponible con Setapp! No sé exactamente cómo AnyConnect funciona, pero dice que la apoya, y tiene opciones de configuración disponibles que son exactamente lo que usted está buscando para otros protocolos, incluyendo IKE, así que... tal vez?