如何在Wireshark中筛选DNS流量？

Question

**问题：如何在Wireshark中筛选DNS流量？** 在使用Wireshark进行网络抓包分析时，经常需要筛选出DNS流量以排查域名解析问题或分析网络行为。然而，许多用户不清楚如何准确地设置过滤器来捕获DNS协议数据。常见的疑问包括：应使用哪种显示过滤器语法？如何区分DNS请求与响应？是否可以通过源/目的IP或端口进一步细化过滤条件？此外，部分用户还遇到过滤器不生效或无法匹配预期数据包的问题。本文将详细介绍在Wireshark中筛选DNS流量的几种常用方法，并解答相关常见技术问题。

Answer 1

一、Wireshark中筛选DNS流量的基础方法

在Wireshark中筛选DNS流量，最基础的显示过滤器是使用协议名称进行过滤。DNS流量通常基于UDP协议运行在端口53上，因此可以通过以下过滤器筛选出所有DNS数据包：

dns

该过滤器将显示所有使用DNS协议的数据包，包括请求和响应。适用于快速定位DNS相关流量。

二、区分DNS请求与响应

DNS协议中，请求和响应的报文结构不同，可以通过查询类型字段进行区分。以下两个过滤器分别用于筛选DNS请求和响应：

• 仅显示DNS请求：

  dns.flags.response == 0

• 仅显示DNS响应：

  dns.flags.response == 1

其中，dns.flags.response字段表示该数据包是否为响应报文。0表示请求，1表示响应。

三、结合IP地址进行DNS流量筛选

有时我们需要分析特定主机的DNS行为，可以通过源IP或目的IP进行过滤。例如：

• 筛选源IP为192.168.1.100的DNS流量：

  dns and ip.src == 192.168.1.100

• 筛选目的IP为8.8.8.8的DNS流量：

  dns and ip.dst == 8.8.8.8

这种组合过滤器可以帮助定位特定主机或DNS服务器之间的通信。

四、结合端口信息细化DNS流量筛选

虽然DNS默认使用UDP 53端口，但在某些特殊场景下（如DNS over TCP或自定义端口），可能需要更精确的过滤。例如：

• 筛选使用UDP端口53的DNS流量：

  udp.port == 53

• 筛选使用TCP端口53的DNS流量：

  tcp.port == 53

注意：部分DNS响应数据较大时，可能使用TCP协议传输。

五、常见问题与解决方法

在使用Wireshark筛选DNS流量时，用户常遇到以下问题：

问题	可能原因	解决方法
过滤器不生效	语法错误或大小写问题	检查拼写，使用小写协议名
未看到DNS流量	未捕获到DNS交互或使用DoH/DoT加密	检查是否启用加密DNS
无法区分请求/响应	未正确使用标志位过滤	使用dns.flags.response字段

六、高级DNS流量分析技巧

在实际网络排查中，可能需要结合多个条件进行过滤。例如，筛选特定域名的DNS请求：

dns.qry.name == "example.com"

还可以结合逻辑运算符组合多个条件：

dns and ip.src == 192.168.1.100 and dns.qry.name == "google.com"

这些高级技巧可帮助快速定位特定问题。

七、流程图：DNS流量分析步骤

以下是分析DNS流量的典型流程图：

graph TD
            A[启动Wireshark并开始抓包] --> B{是否设置过滤条件?}
            B -->|是| C[输入DNS相关过滤器]
            B -->|否| D[抓取所有流量后手动过滤]
            C --> E[筛选出DNS流量]
            D --> E
            E --> F{是否需要进一步细化?}
            F -->|是| G[添加IP、端口或域名条件]
            F -->|否| H[分析DNS请求与响应]
            G --> H