Цель: скрыть от провайдера и СОРМ DNS-запросы, которые по умолчанию не шифруются
Как написано в Arch Wiki, NetworkManager не умеет напрямую работать с DoT (DNS Over TLS). Для этого используется systemd-resolved (ставить его не надо — это часть пакета systemd).
Если он не включен:
sudo systemctl enable --now systemd-resolved