REFUSED 是什么
REFUSED 对应响应码 5，表示解析器明确拒绝为这次查询提供服务，常见于非授权网段发起查询、命中访问控制策略，或对特定查询类型的策略性拒绝。它与网络不通的区别很关键：拒绝会立即返回响应，说明链路完全可达，只是服务端不愿回答；防火墙静默丢弃的问题则表现为长时间没有任何响应，客户端只能等到重试超时。看到大量拒绝类响应时，优先怀疑内网解析器被配置给了不该使用它的客户端，或递归授权范围发生了变化。
基本信息
| 响应码 | 5（REFUSED，拒绝服务） |
|---|---|
| 抓包字段 | dns.flags.rcode == 5 |
| 语义 | 策略性拒绝，不是网络故障 |
| 判别特征 | 毫秒级立即返回响应 |
| 常见成因 | 非授权网段、访问控制列表、查询类型策略 |
典型使用场景
- 区分策略拒绝与网络不通：立即响应还是完全无响应，处置方向完全不同
- 授权范围核查：确认哪些网段被允许使用这台解析器
- 配置误用排查：内网解析器暴露给外部客户端时会出现大量拒绝
- 变更验证：调整访问控制之后确认拒绝是否按预期消失
- 监控口径划分：把策略拒绝与真实解析失败分开统计
判别与对照
判别与对照
dns.flags.rcode == 5
# 立即返回拒绝响应 → 链路可达，属策略行为
# 长时间无任何响应 → 更像报文被静默丢弃
# 两者处置方向完全不同，先分清再排查拒绝与丢弃对比
| 表现 | 含义 | 排查方向 |
|---|---|---|
| 毫秒级返回拒绝 | 策略拒绝，链路可达 | 核对访问控制与授权范围 |
| 长时间无响应 | 报文被静默丢弃 | 查防火墙规则与转发路径 |
| 部分客户端被拒 | 来源网段策略存在差异 | 对比允许与拒绝两类的来源 |
递归授权范围变更之后行为可能整体翻转，例如把解析器从允许任意来源收紧为仅内网，此时外部客户端的查询会立刻从成功变成大量拒绝。
还要区分解析器主动拒绝与上游权威服务器拒绝：响应码相同但责任方不同，结合抓包点位与解析器日志才能判断是哪一段出的问题。