应用层报文判读71 条

TC 截断与 TCP 回退判读

响应超 UDP 承载上限时置 TC 位，客户端改走 TCP 重查：大响应（多记录、DNSSEC）场景常见，表现为"UDP 一条、TCP 一条"配对。

用途	识别截断与回退链路
语法	dns.flags.truncated == 1

配对观察

UDP 响应 TC=1 → 客户端 TCP 53 重查 → 得到完整答案
过滤: dns.flags.truncated == 1 或 tcp.port == 53

防火墙只放行 UDP 53 而不放 TCP 53 时，回退失败会导致解析间歇失败。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌