Unter Internet → Zugangsdaten → DNS-Server trägst du die DNS-Server ein, welche die Fritzbox selbst verwenden soll, zum Beispiel DNSforge, Quad9 oder einen anderen Resolver deines Vertrauens. Das ist aber nicht der eigentliche Upstream für die Clients, wenn diese AdGuard Home als DNS-Server verwenden.
Für die Clients ist dann AdGuard Home zuständig. AdGuard nimmt die Anfragen entgegen, filtert sie und leitet die erlaubten Anfragen an den in AdGuard Home konfigurierten Upstream weiter, bei dir also aktuell an Quad9 per DoH.
Die IP des Raspberry Pi beziehungsweise von AdGuard Home würde ich an dieser Stelle in der Fritzbox nicht eintragen. Je nach weiterer Konfiguration kann man sich damit eine DNS-Schleife bauen oder die Fritzbox macht sich für ihre eigene Namensauflösung unnötig von AdGuard abhängig. Die AdGuard-IP gehört in die DHCP- beziehungsweise lokale DNS-Konfiguration für die Clients, nicht als Internet-DNS-Server der Fritzbox.
DoT kannst du in der Fritzbox aktivieren, wenn die dort eingetragenen DNS-Server das unterstützen. Das betrifft dann die DNS-Anfragen der Fritzbox an diese Resolver.
AdGuard Home übernimmt diese Fritzbox-Einstellung nicht. AdGuard hat seine eigene Upstream-Konfiguration. Wenn die Clients per DHCP AdGuard Home als DNS-Server verwenden, entscheidet die AdGuard-Konfiguration, ob deren DNS-Anfragen anschließend unverschlüsselt, per DoH oder per DoT weitergeleitet werden.
Bei Upstream-DNS-Server trägst du den eigentlichen externen Resolver ein, den AdGuard Home für erlaubte Anfragen verwenden soll. Wenn du Quad9 per DoH nutzen möchtest, wäre zum Beispiel eher https://dns.quad9.net/dns-query passend. Dein aktuell eingetragenes https://dns10.quad9.net/dns-query ist die ungesicherte Quad9-Variante ohne Malware-Blocking.
https://docs.quad9.net/services/?utm_source=chatgpt.com
Fallback-DNS-Server würde ich zunächst leer lassen oder nur sehr bewusst setzen. Ein Fallback kann zwar bei Ausfällen helfen, aber er kann auch dazu führen, dass Anfragen an einem anderen Resolver landen als eigentlich beabsichtigt.
Bootstrap-DNS-Server brauchst du, wenn dein Upstream als Hostname eingetragen ist, also zum Beispiel dns.quad9.net. AdGuard Home muss diesen Namen einmal auflösen können, bevor es die DoH-Verbindung aufbauen kann. Wenn du Quad9 als Upstream nutzt, kannst du hier die normalen Quad9-IP-Adressen eintragen, also zum Beispiel 9.9.9.9 und 149.112.112.112.
Bei Private inverse DNS-Server geht es vermutlich um lokale Reverse-Lookups, also darum, dass AdGuard Home zu lokalen IP-Adressen wieder Hostnamen anzeigen kann. In einem Fritzbox-Heimnetz wäre das meist die IP der Fritzbox, zum Beispiel 192.168.178.1. Das ist nicht der normale Internet-Upstream, sondern als Reverse-DNS im privaten Netz gedacht.
Btw: Es gäbe auch noch das Thema lokale Namensauflösung. Bei Pi-hole würde man in einem Fritzbox-Setup typischerweise mit Conditional Forwarding arbeiten, damit lokale Anfragen für das Heimnetz an die Fritzbox weitergeleitet werden. Die Fritzbox kennt in der Regel lokale Geräte über DHCP beziehungsweise die Heimnetzübersicht, beispielsweise nas.fritz.box.
Ich kenne AdGuard Home nicht aus eigener Praxis, aber vermutlich gibt es dort eine vergleichbare Möglichkeit für lokale Forward-Lookups, also Name → IP. Wenn die Fritzbox weiterhin DHCP macht, sollte man prüfen, wie AdGuard lokale Namen sauber an die Fritzbox weiterleitet, statt sie an den externen Upstream zu schicken.
