Никогда не догадается. На IP-адресе не висит табличка "тут резолвер".

Идёт обращение по HTTPS на 443 порт Гугла/клаудфлаера - ВСЁ. Это всё, что вы (DPI) знаете. Заглянуть в SNI и узнать домен вы тоже не можете - eSNI.

Итого, у вас остаются весьма топорные способы как-то разрулить ситуацию:

- рубить все соединения, где не видно SNI и надеяться, что приложение, не получив ответа, включит fallback, откатившись к незашифроввнному SNI. Как только основные браузеры откажутся от fallback-поведения, вы в заднице, потому что серфинг у абонентов становится невозможен и абоненты дружно проголосуют ногами, уйдя к условному Ростелекому, который может себе позволить блокировать не так строго (и платить штрафы по 50к за пропуски хоть каждый день)

- ставить соединение на паузу и обнюхивать запрошенный IP на наличие там веб-сервера (как делает китайский файерволл), если веб-сервер не найден, делать вывод, что это DoT и рубить. Вы снова в заднице, потому что абонентам такое тормощогло вместо интернета нафиг не нужно.

- составлять базу IP, где замечен запущенный резолвер. Удачи, у клаудфлаера столько адресов, что он хоть каждые 5 минут может их менять. После того, как ваше оборудование схавает миллион-другой адресов, оно, дай боже, загнётся и... да, вы снова в жопе