skąd on ma wiedzieć, że aby się dostać do serwera trzeba jeszcze wiedzieć jaki dns go obsługuje.

Pamiętam, jak w 2013 były wielkie protesty w Turcji i był ban na Twittera, realizowany przez kontrolę DNS właśnie, to pojawiło się takie coś:

Czyli da się, nawet na dość masową skalę.

Z drugiej strony, w środowisku dostępowych sieci społecznościowych nie ma wcale problemu z tym, żeby do listy DNS domyślnie dodać serwery Opennic. Użytkownik może nawet nie wiedzieć (aczkolwiek dobrze, żeby wiedział). Jeśli chcielibyśmy używać bezpiecznego szkieletu via Wireguard, to i tak konieczne będą niestandardowe konfiguracje, więc krańcowy koszt jest nieduży.