@bnsware; eline sağlık hocam, kodu bu kadar ciddiye alıp TT üzerinde test etmen çok değerli. Çoğunu haklı buldum, hepsini elden geçirdim; yeni sürümde (v2.2.1) şöyle:
1 — DNS koruması artık varsayılan açık. Zaten asıl mesele buymuş, teşhisin doğru.
2 — Haklısın, "DoH" düz UDP'ydi. Tam senin önerdiğin gibi yaptım: ana süreçte 127.0.0.1'de bir DoH yönlendirici, IP ile ve SNI'siz, sertifika doğrulamalı (RFC 8484). Motor önce ona soruyor, cevap gelmezse eski UDP çözücülere düşüyor.
3 — 195.175.254.2 artık eleniyor, en sondaki getaddrinfo yedeğinde de reddediliyor. Doc'taki yanlış ifadeyi de düzelttim.
4 — "Sadece listedeki siteler" modunu ekledim ve varsayılan yaptım; listedekiler (alt alan adları dahil) proxy'den, gerisi DIRECT. Liste düzenlenebiliyor, "tüm trafik" seçeneği duruyor. Windows'ta bu modda ProxyServer'a dokunmuyor, sadece AutoConfigURL.
5 — Düzeltmen doğru, UDP ASSOCIATE işe yaramaz, ses zaten proxy'den geçmiyor. "RTC Bağlanıyor" olayını deneyenlerle ayrıca kovalayacağız; senin DNS-over-HTTPS'le ayırma yöntemini deneyeceğim.
7 — Electron 43'e geçtim, fast-uri açığı kapandı. (Bir de electron-updater'ın js-yaml'ini güncelledim, audit artık temiz.)
8 — Site testi artık sistem DNS'i engelleme IP'si döndürüyorsa "DNS ile engelli ama çözüldü" diyor.
9 — İlk açılışta kısa açıklama notu ekledim; site testi zaten vardı.
6 — En kritik uyarın bu, haklısın. Kalıcı çözüm kod imzalama; SignPath Foundation'a başvuruyorum, kabul edilince Windows derlemeleri imzalı çıkacak (CI'ı da ona göre kurdum). O gelene kadar davranışı değiştirmedim ama akılda.
Tekrar sağ ol, bu seviyede inceleme az bulunur. Takıldığın başka yer olursa yaz.