Кароче. Как мне подсказали на лоре DoH это https трафик на статик адрес. Значит dnsmasq+ipset+iptables-static https есть блок всего, включая DoH. И остальной прямой траф останется. Конечно в нем тоже телеметрия может быть, так что можно два режима сделать для желающих.
И я выдумал на основе этого всего, что https на статик можно просто редиректить на свою doh проксю, у которой апстрим будет тот же пихоль. Но тут сертификаты нужны и спайварь такое может не принять...но и туда ей и дорога.