| 用途 | 识别与聚集不存在域名 |
|---|---|
| 语法 | dns.flags.rcode == 3 |
聚集
聚集
tshark -r dns.pcap -Y 'dns.flags.rcode == 3' -T fields -e dns.qry.name | sort | uniq -c | sort -rn | headCDN 或搜索域补全产生的 NXDOMAIN 属预期噪音，按域名特征剔除。
NXDOMAIN 判读与影响
名字不存在（rcode 3）：拼写错误、记录被删或内网域外泄查询都会产生；大量 NXDOMAIN 拖慢页面且污染日志。
易错点
- 否定结果也有缓存，改记录后旧缓存期内仍可能继续不存在
- 子域探测类安全扫描会造成 NXDOMAIN 尖峰，先看来源再定性
数据来源与参考
- RFC 2308（NXDOMAIN 缓存）