/etc/resolv.conf が 127.0.0.53 を指しているのはなぜですか?

08 を実行している可能性がありますサービスとして。

18 DNS クライアントライブラリ (C ライブラリの BIND DNS クライアントライブラリなど) でオプションで使用するために、2 つの構成ファイルをオンザフライで生成します。

25 クエリを 127.0.0.53 に送信するように DNS クライアントライブラリに指示します。これが 39 の場所ですプロセスは DNS クエリをリッスンし、それを転送します。
47 56 の IP アドレスにクエリを送信するように DNS クライアントライブラリに指示しますは、DHCP リースに含まれる構成ファイルと DNS サーバー情報からオンザフライで取得します。事実上、これは 68 をバイパスします 70 のすべてをバイパスすることも犠牲にして、転送ステップ任意のトランザクションについて、実際に何を転送するかについて複雑な決定を下すためののロジック。

どちらの場合も 87 ドメイン名サフィックスの検索リストを構成します。これは、構成ファイルと DHCP リース (この回答の範囲外のメカニズムを介して通知されます) からオンザフライで再度導出されます)。

97 オプションで次のことができます:

これらのいずれかへのシンボリックリンク
パッケージ提供の static へのシンボリックリンク 105 のファイル、これも 127.0.0.53 を指定しますが、その場で計算される検索ドメインはありません;
まったく別のファイル

そのようなシンボリックリンクがある可能性があります。その場合、192.168.1.1 設定について知っていることは、(おそらく) LAN 上の DHCP サーバーによって DHCP リースで配布されますが、 112 、あなたが観察したように、クエリトラフィックをそれに転送しています.DNSクライアントライブラリは、アプリケーションプログラムで、それ自体が 127 とのみ通信しています .

 
 皮肉なことに、できる 127.0.0.53 との間のループバック インターフェイス トラフィックを適切にキャプチャしていない場合は、131 が原因で表示されない可能性が高くなります。 また、(オプションで) C ライブラリ内の BIND DNS クライアントをバイパスし、キャプチャされるトラフィックを生成しません。
 
 144 で提供される NSS モジュールがあります 、名前 157 、これは C ライブラリのプラグインです。以前は、C ライブラリは 163 という名前の別のプラグインを使用していました。 これは、BIND DNS クライアントを使用して、DNS プロトコルを使用して、176 にリストされているサーバーに対してクエリを実行します。 、そこにリストされているドメイン サフィックスを適用します。
 
 184 先にリストされる 194 の あなたの 209 で これにより、C ライブラリは BIND DNS クライアントまたは DNS プロトコルを使用せず、名前→アドレスのルックアップをまったく実行しません。代わりに、217 227 への (システム全体の) デスクトップ バスを介して非標準で特異なプロトコルを話します 、これは再び 192.168.1.1 のバックエンド クエリを作成するか、または DHCP リースと構成ファイルが示す内容は何でもします。
 
 それを傍受するには 236 でデスクトップ バス トラフィックを監視する必要があります。 またはそのようなツール.ループバックネットワークインターフェイスを介したIPトラフィックは言うまでもなく、IPトラフィックでもありません。 249 経由でデスクトップ バスに到達するため 
 
 1.1.1.1 またはその他の IP アドレスでサードパーティの解決プロキシ DNS サーバーを使用する場合は、次の 3 つの選択肢があります。
  192.168.1.1 を配布する代わりに、それを配布するように DHCP サーバーを構成します。 258 DHCP リースを介してそれを学習し、使用します。
 263 を構成する DHCPリースで見ているものの代わりにそれを使用する独自の構成メカニズムを介して.
 独自の 277 を作成する ファイル、シンボリックリンクではなく実際の通常のファイル、そこに1.1.1.1をリストし、282をオフにすることを忘れないでください 293 の使用に戻るように および BIND DNS クライアント。
 
 
 302 構成ファイルは、結合されるさまざまなディレクトリ内の一連のファイルであり、前述の 2 番目の選択肢のためにそれらを構成する方法は、この回答の範囲を超えています。314 を読んでください。 (5) そのためのマニュアルページ。
 
 
 325 全体 CIDR ブロックはループパック ルーティングに使用されます。あなたのホストは、その特定のループバック アドレスで独自の DNS サーバーを実行しているようです (または、少なくとも実行していると思われます)。
 
 ループバック トラフィックは (一般に) ネットワーク上にないため、デフォルト設定ではループバック トラフィックを監視しない可能性があるため、Wireshark などのスニッピング ツールで TCP/53 トラフィックが見られないことは驚くべきことではありません。 338 などのツールを使用する (例:342 さらに調査するために、その TCP ポートでリッスンしているプロセスがあれば表示されます。
 
 たぶん 関連するのは、Ubuntu がループバック リゾルバー 352 を使用しているように見えることです。