重复查询怎么区分
域名查询走的是无连接的用户数据报，同一问题的多次出现只能靠事务标识与时间戳来区分：标识相同通常属于超时重传，标识不同则更可能是应用层发起了新的查询。这个区分直接影响故障率统计——把应用重试也算进协议重传，会显著高估解析器的超时率。观察时把同一查询名的请求按时间排列，比较标识是否重复、响应是否出现多份，就能判断出重传形态。协议重传的间隔通常呈退避特征，而应用层重试的间隔由业务代码决定，形态更规律。
基本信息
| 协议依据 | RFC 1035（事务标识） |
|---|---|
| 抓包字段 | dns.id、dns.qry.name、frame.time_relative |
| 判别原则 | 标识相同多为重传，标识不同多为新查询 |
| 统计影响 | 混淆两类会高估解析超时率 |
| 常见诱因 | 链路丢包、解析器过载、上游无响应 |
典型使用场景
- 超时率统计：把协议重传与应用层重试分开计算
- 解析器评估：通过重传间隔推断其重试策略
- 故障定位：确认失败来自丢包还是上游不响应
- 客户端行为分析：观察应用层重试的频率与规律
- 容量评估：重传放大明显时重新评估解析器承载能力
排列与判读
排列与判读
dns.qry.name == "api.example.com"
# 按事务标识与相对时间排列同一问题的多次出现
# 标识相同、间隔递增 → 超时重传
# 标识不同 → 应用侧发起了新查询重复查询判读
| 形态 | 含义 | 注意 |
|---|---|---|
| 相同标识多次出现 | 协议层超时重传 | 间隔通常呈退避特征 |
| 不同标识连续出现 | 应用层重试 | 间隔由业务代码决定 |
| 一次请求收到多份响应 | 存在多条响应路径 | 需结合网络结构判断，不宜直接判为重复 |
连续出现相同标识也可能是负载均衡之后两条响应路径各自回包，先看响应数量再定性，不要直接判定为重复查询。
统计超时率时必须把应用层重试剔除，否则被高估的故障率会误导容量规划与解析器选型。