DoT (DNS over TLS) と DNSSEC に対応したDNSキャッシュサーバーを systemd-resolved で作る話です。 systemd-networkdをDHCPサーバーにするを組み合わせると dnsmasq の代わりに systemd を使えるようになります。以下の設定はsystemd 247かそれ以降で使えます。

/etc/systemd/resolved.conf.d/my.conf

[Resolve]

DNS=2001:4860:4860::8888#dns.google 2001:4860:4860::8844#dns.google
DNSSEC=allow-downgrade
DNSOverTLS=yes
MulticastDNS=yes
LLMNR=yes
Cache=no-negative
DNSStubListener=no
DNSStubListenerExtra=192.168.1.2
DNSStubListenerExtra=127.0.0.1

ポイント

DNSSEC, DNSOverTLS と一緒に使うときCloudflare DNSととても相性が悪いのでクラウドフレアを用いない
DNSStubListenerExtra にDNSの問い合わせを受け付けるIPアドレスを書く
/etc/resolv.conf を以下のようにnameserver の部分に上記のDNSStubListenerExtra に指定したIPアドレスを設定する

/etc/resolv.conf

options inet6 edns0 trust-ad use-vc
nameserver 127.0.0.1