能完整抓取DNS全过程，关键在准备充分、过滤精准、分析到位：需确认resolv.conf配置、清空本地缓存、用dig/nslookup触发查询；tcpdump适合命令行抓包，Wireshark便于图形化深度分析；重点判断响应是否正常、有无超时/NXDOMAIN/SERVFAIL、CNAME链及TTL异常。
直接用 tcpdump 或 Wireshark 抓取端口 53 的流量，就能完整看到 DNS 查询与响应全过程。关键不是“能不能抓”，而是抓得准、看得清、判得对。
DNS抓包前的必要准备
确保系统正在使用你关心的 DNS 服务器：
- 查看当前配置：
cat /etc/resolv.conf，确认nameserver指向的是你要监控的目标（如114.114.114.114或8.8.8.8） - 清空本地缓存（避免跳过真实查询）：
– 若用 systemd-resolved：sudo systemd-resolve --flush-caches
– 若用 dnsmasq：sudo systemctl restart dnsmasq
– 同时可临时注释掉/etc/hosts中相关条目 - 发起一次明确的 DNS 查询触发流量，例如：
dig www.example.com A +short或nslookup github.com
用 tcpdump 快速抓 DNS 流量
适合命令行环境、无图形界面或需脚本化场景：
- 基础命令（监听所有接口，只抓 UDP 53 端口）：
sudo tcpdump -i any -n port 53 - 加
-v查看详细报文结构，加-w dns.pcap保存供后续分析：sudo tcpdump -i any -n -v port 53 -w dns.pcap - 过滤特定域名（需配合 -A 显示 ASCII 内容）：
sudo tcpdump -i any -n -A "port 53 and udp" | grep -A 2 -B 2 "example.com"
你会看到类似这样的输出：IP 192.168.1.100.54321 > 114.114.114.114.53: 12345+ A? www.example.com. (35)
→ 表示本机随机端口向 DNS 服务器发起了 A 记录查询
用 Wireshark 图形化分析 DNS 报文细节
更直观，适合教学、排错和协议学习：
- 启动 Wireshark，选择对应网卡（非
lo回环，除非查本地 resolver 进程） - 设置显示过滤器：
dns（只看 DNS 流量），或进一步限定：dns.qry.name contains "example.com" - 点开一个 DNS 查询包，在「Packet Details」面板中逐层展开：
→ DNS Question Section：能看到查询名（www.example.com）、查询类型（A）、查询类（IN）
→ DNS Answer Section（响应包中）：含A记录 IP、TTL、CNAME 跳转等 - 右键某次查询+响应对 → Follow → DNS Stream，可对比请求与应答的完整上下文
常见现象与判断要点
抓到包后，别只看“有没有”，重点看“对不对”：
- 超时无响应：只有 Query 包，无对应 Response → 检查防火墙是否放行 UDP 53、DNS 服务器是否可达、网络路由是否正常
- NXDOMAIN 或 SERVFAIL：响应码非 0 → 域名不存在，或权威服务器故障，或递归链中断（可结合根/顶级域查询路径分析）
- CNAME 链过长或循环：Answer Section 出现多级 CNAME → 可能导致解析延迟甚至失败
- TTL 值异常低（如 0 或 1）：说明上游配置不当或被污染，影响本地缓存效率
