Parce que c'est nécessaire au fonctionnement du NAT64.
Changer le DNS, tu pètes ce mécanisme et donc plus d'accès ipv4 si ton APN est en v6-only.
Et les clients râlent...

(been here, done that)

Bon, heureusement alors que ça ne bloque pas l'initialisation en clair du DoT et du DoH.
Et de manière plus technique, avec mon précédent message, faire communiquer un serveur Unbound auto-hébergé chez soi et un smartphone ou une tablette, c'est uniquement via le wifi d'une vraie box, et donc un réseau fixe, pas un réseau mobile.
Je n'ai jamais réussi à faire via un hotspot 4G, ce n'est pas du vrai LAN.

EDIT: par contre, à mon précédent message, j'ai ajouté un gros avertissement à mon précédent message, pour les cas où on connecte du PC a du réseau mobile (ce qui m'arrive plus ou moins régulièrement).

Numel1 et Aunisien, je verrais plus tard pour votre DNS préféré respectif. Mais je rappelle que ma liste est perso, et n'a pas d'objectif à être exhaustif un jour.

---

Pour revenir à Unbound, il y a un cas pratique pour ceux qui veulent n'avoir aucune requête DNS en clair (le DoT et le DoH s'initialise en requête en clair, généralement, pour le domaine internet).

Pourquoi vouloir l'éviter en France? Bouygues Telecom (réseau mobile) détourne toutes les requêtes du port 53 vers leurs serveur DNS, peu importe nos paramètres DNS.
C'est pour ça que je ne peux pas me passer de DoT et DoH en soit, et pour le moment ça ne bloque par l'initialisation en clair du DoT ou du DoH, ce qui explique que je ne soit pas déjà à nouveau avec Unbound.

Les serveurs root ne sont ni en DoT, ni en DoH.

Par contre, depuis longtemps, Unbound a mis DoT nativement, et c'est devenu complet sous Windows depuis la version 1.10.0 (mais avec les failles de sécurité, il est fortement recommandé de faire toutes le mises à jour).
Son fonctionnement passe par l'initialisation TLS par IP, donc sans requête DNS.

Avec votre DNS intermédiaire préféré et compatible DoT, voici la configuration complète sur cet aspect (exemple avec Google en mode DoT strict, mais prenez le même schéma avec un autre DNS si vous le souhaitez):
server:
        # Requis sous Windows pour valider les certificats TLS via le magasin système
    tls-win-cert: yes

forward-zone:
    name: "."
    forward-tls-upstream: yes
   
    # Les 2 adresses IPv4 de Google DNS avec le DoT (le port 853 est le port par défaut pour le DoT quelque soit le DNS)
    forward-addr: 8.8.8.8@853#dns.google
    forward-addr: 8.8.4.4@853#dns.google
   
    # Les 2 adresses IPv6 de Google DNS avec le DoT (si vous avez un résultat positif avec votre navigateur sur https://ipv6.lafibre.info/ip.php )
    forward-addr: 2001:4860:4860::8888@853#dns.google
    forward-addr: 2001:4860:4860::8844@853#dns.google
Edit de 00h59: grosse correction sur la gestion de l'IPv6.

Edit de 1h13: apparemment, ne pas appliquer cette configuration si votre PC est connecté a du réseau mobile! Du DoH ou DoT classique, avec aussi que des IP pour du DNS en clair est à privilégier!

Il faut pas trop intellectualiser la démarche non plus.

Pour ma part, j'ai configuré plusieurs SFP et jamais eu à gérer le calibrage du laser.

Tu dis que rien n'y fait, mais comme on ne sait pas ce que tu as fait finalement...
Es tu reparti d'une base saine ? Avant de modifier tout ce que tu as modifié, avais tu fais un backup de tes images ? mtd0.bin à mtd5.bin pour restaurer à l'origine ?

C'est sympa de la part d'Unbound d'avoir ajouté les root.

Côté IPv6, en effet, la transition vers IPv6 est terminée (sauf côté serveurs physiques, voir la source en fin de message): https://www.iana.org/domains/root/servers

Par contre, en Europe, les 13 ne sont pas forcément à prendre, même si on a de très bonnes liaisons avec les USA. Certains pools sont USA only, ou très peu présents en Europe: G, H, M, et des soucis avec L (bas de page de https://root-servers.org/ ).

Pour la liste des racines, plus besoin de la tenir à la main : Unbound embarque les adresses des serveurs racine, et on peut récupérer le fichier named.root à jour sur internic.net si on veut le forcer. Côté IPv6, les treize serveurs racine ont tous une adresse IPv6 depuis plusieurs années, donc ça passe aussi en v6 seul.