重复查询与 ID 变化判读

DNS 无连接：同一问题的多次出现靠事务 ID 与时间区分——ID 相同多为重传，ID 不同是新查询；重传放大常用于评估解析器重试策略。

用途	按 ID 区分重传与新查询
字段	dns.id / dns.qry.name

观察

tshark -r dns.pcap -Y 'dns.qry.name == "api.example.com"' -T fields -e dns.id -e frame.time_relative

超时重传一般复用 ID，应用层重试通常换 ID；两者合并会混淆。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌