dig +trace não funciona

Ezequias, Você precisa ter pelo menos 1 dns especificado no nameserver. Faça um teste colocando nameserver 8.8.8.8 e repita o comando

Ricardo, alterei o resolv.conf para o seguinte texto:

# This file is managed by man:systemd-resolved(8). Do not edit.
#
# This is a dynamic resolv.conf file for connecting local clients to the
# internal DNS stub resolver of systemd-resolved. This file lists all
# configured search domains.
#
# Run "systemd-resolve --status" to see details about the uplink DNS servers
# currently in use.
#
# Third party programs must not access this file directly, but only through the
# symlink at /etc/resolv.conf. To manage man:resolv.conf(5) in a different way,
# replace this symlink by a static file or a different symlink.
#
# See man:systemd-resolved.service(8) for details about the supported modes of
# operation for /etc/resolv.conf.

# nameserver 127.0.0.53
nameserver 8.8.8.8
search localdomain

Todavia a saída do comando permaneceu inalterada:

ezequias@ubuntu:~$ dig +trace www.xpto.com

; <<>> DiG 9.11.3-1ubuntu1.1-Ubuntu <<>> +trace www.xpto.com
;; global options: +cmd
;; connection timed out; no servers could be reached
ezequias@ubuntu:~$ 

Meu caro, desculpe a pergunta... Esta máquina está acessando a Internet ? Em caso positivo deve haver algum bloqueio na porta 53 ( acl, firewall, etc). Veja se recebe alguma resposta: dig @8.8.8.8 www.xpto.com

Quando eu comento a linha 127.0.0.53 no resolv.conf a máquina perde a conexão com a internet.

Isto não tem muita lógica, o nameserver diz qual o server devemos consultar. Quando você coloca nameserver x.x.x.x está dizendo para que este dns seja consultado. Veja com cuidado a sintaxe.

Ricardo, descobri com um colega daqui (estou no trabalho) que é o firewall que está bloqueando a consulta a um servidor de DNS externo. Na rede interna a consulta está restrita ao servidor de DNS interno.

Que bom, Como disse anteriormente podia ser alguma regra, acl, etc. Por segurança em ambientes corporativos a boa prática é permitir que consultas de dns (porta 53) seja feitas somente a partir do servidor de dns "corporativo"