把常用过滤集中起来
域名系统的排查现场往往节奏很快，临时拼过滤条件既慢又容易写错。把最常用的几组条件提前整理好——按域名查询、按记录类型、只看失败、只看截断、只看非默认端口——现场直接取用即可。这样既减少语法试错的时间，也避免因为条件写得不准而得出错误结论。需要留意的是加密解析流量在内容层不可见，只能看到连接形态。
基本信息
| 适用平台 | Wireshark / tshark 显示过滤器 |
|---|---|
| 常用字段 | dns、dns.flags.*、dns.qry.name、dns.qry.type |
| 端口范围 | 53（默认）、5353（组播解析） |
| 限制 | 加密解析只能按连接特征筛选，内容不可见 |
典型使用场景
- 现场快速筛出失败响应，先看数量再钻取
- 按记录类型定位特定类型的解析问题
- 只看查询或只看响应，避免混淆两类报文
- 快速确认是否存在被截断的响应
- 在非默认端口上排查组播或本地解析行为
- 为新同事提供可直接复制的起手条件
速查清单
速查清单
dns # 全部域名流量
!dns.flags.response # 只看查询
dns.flags.response == 1 && dns.flags.rcode != 0 # 只看失败
dns.flags.truncated == 1 # 只看截断
dns.qry.type == 16 # 只看文本类型记录
tcp.port == 53 || udp.port == 53 # 非默认端口的补充筛选
# 加密解析: 只能按端口与连接形态筛选，内容不可见条件逐项读法
| 过滤条件 | 作用 | 使用注意 |
|---|---|---|
| dns | 所有域名流量 | 起手筛选，范围最宽 |
| 只看查询 | 排除响应干扰 | 注意取反写法不要写成排除全部流量 |
| 只看失败 | 收敛到问题样本 | 需要同时限定响应侧，否则查询也会被算进来 |
| 只看截断 | 定位不完整响应 | 截断响应需与回退流量配对分析 |
| 按记录类型 | 聚焦特定查询 | 类型取值需与协议定义一致 |
取反条件写错是高频问题：把「只看查询」写成对整个协议取反，会把不相关的流量一起排除，结果看起来像没有数据。
默认端口之外还有组播解析与其他本地解析方式，按需扩展筛选条件，但它们的内容层可读性与默认端口不同。