2026-06-02

Délai d'expiration DNS, NXDOMAIN et SERVFAIL dans PCAP : Comment distinguer un DNS lent d'un serveur lent

Comment diagnostiquer les délais d'attente DNS, NXDOMAIN, SERVFAIL, les requêtes répétées et le démarrage lent des applications à l'aide des preuves de capture de paquets.

De nombreux cas d'"application lente" sont en réalité des cas DNS. Un utilisateur clique sur un bouton, l'application attend plusieurs secondes et le premier blâme revient au serveur. Une capture de paquet peut montrer qu'aucune connexion TCP n'a été tentée jusqu'à ce que la résolution DNS soit terminée ou échoue.

Les preuves DNS sont compactes, mais faciles à mal interpréter. NXDOMAIN, SERVFAIL et timeout sont des résultats différents. Les traiter comme une « erreur DNS » générique conduit au mauvais propriétaire.

Le délai d'attente signifie qu'aucune réponse utilisable n'est arrivée

Un délai d'attente DNS apparaît généralement sous la forme de requêtes répétées sans réponse utile. Le client peut réessayer avec le même nom, interroger plusieurs résolveurs ou passer d'IPv6 à IPv4. Le signe clé est le temps qui s’écoule avant que l’application puisse avancer.

Inspecter:

nom de la requête
type de requête : A, AAAA, CNAME, SRV, etc.
IP du résolveur
intervalle de nouvelle tentative
si une réponse est arrivée
temps jusqu'au début de la connexion TCP ou TLS
si plusieurs résolveurs se comportent différemment

S'il y a plusieurs secondes de tentatives DNS avant une tentative de connexion, le serveur n'est pas encore lent. Le client ne l'a pas atteint.

NXDOMAIN est une réponse négative valide

NXDOMAIN signifie que le nom n'existe pas. Il peut s'agir d'un problème de configuration d'application, d'une faute de frappe, d'un domaine obsolète, d'un problème DNS à horizon partagé ou d'une recherche attendue d'un comportement facultatif. Ce n’est pas la même chose qu’une absence de réponse.

Questions utiles :

quel nom a renvoyé NXDOMAIN ?
l'application a-t-elle essayé un autre nom ?
s'agissait-il d'un DNS interne ou d'un DNS public ?
l'expansion du suffixe de recherche a-t-elle créé des noms inattendus ?
la réponse négative est-elle arrivée rapidement ?

Un NXDOMAIN rapide n'est souvent pas un problème de performances. C'est un problème d'exactitude.

SERVFAIL pointe vers un problème de résolution ou d'autorité

« SERVFAIL » signifie que le résolveur n'a pas pu compléter la réponse. Les causes peuvent inclure un échec de validation DNSSEC, des serveurs faisant autorité inaccessibles, une mauvaise configuration du résolveur ou une panne partielle.

Un PCAP proche du client peut afficher uniquement le « SERVFAIL » final du résolveur. Une capture à proximité du résolveur peut afficher les requêtes en amont et où elles échouent. Le point de capture compte.

Pourquoi la chirurgie PCAP est importante

PCAP Surgery n’est pas un serveur DNS. Son rôle est d'aider les ingénieurs à isoler les preuves contenues dans les captures de paquets, à réduire les fenêtres pertinentes, à préserver le timing et à préparer des fichiers de transfert défendables. Les cas DNS nécessitent souvent de petits extraits ciblés :

requêtes avant la connexion de l'application
réponses du résolveur
timing de nouvelle tentative
connexion TCP/TLS associée après résolution
suffisamment de contexte pour prouver que DNS était le retard

Si un PCAP volumineux contient un délai visible par l'utilisateur de 10 secondes, l'extraction de la fenêtre de requête DNS ainsi que de la première tentative de connexion peut rendre le dossier de support beaucoup plus facile à examiner.

Que conserver dans une capture de dépannage DNS

Préserver:

timestamps
ID de transaction DNS
paires de requêtes et de réponses
codes de réponse
IP du résolveur
adresse IP du client
calendrier de connexion de suivi

Soyez prudent lorsque vous anonymisez. Si les noms de requête sont complètement supprimés, le destinataire peut ne pas savoir si l'échec est dû à une faute de frappe, à un domaine interne, à un domaine public ou à un comportement de suffixe de recherche.

Pour les requêtes de recherche telles que « délai d'expiration DNS pcap », « NXDOMAIN vs SERVFAIL » ou « capture lente des paquets DNS », la clé est de prouver si l'application a attendu la résolution avant d'atteindre le serveur.

Réponse fondée sur les paquets pour « Délai d'expiration DNS, NXDOMAIN et SERVFAIL dans PCAP : Comment distinguer un DNS lent d'un serveur lent »

La réponse directe est qu’un label d’analyse ou un message applicatif ne suffit pas à désigner la cause. Commencez par le point de capture et la direction, puis prouvez la dernière frontière réussie et la première en échec. Pour « Délai d'expiration DNS, NXDOMAIN et SERVFAIL dans PCAP : Comment distinguer un DNS lent d'un serveur lent », un autre lecteur doit retrouver le packet, le trou ou l’intervalle soutenant chaque phrase et savoir quel élément pourrait la réfuter.

Placer la capture sur le chemin

Consignez client, serveur et tout proxy, load balancer, NAT ou firewall. Indiquez interface, lieu, horloge, système et directions visibles. Une capture côté client prouve ce qui y arrive, pas que le serveur n’a rien envoyé. Côté serveur, elle prouve la sortie à cet endroit, pas le trajet. Avant de comparer deux points, corrigez clock offset et alignez flow tuple, TCP sequence ou transaction ID.

Vérifiez snap length, dropped packets, offload, capture filter, ring buffer et heure de départ. Un mauvais checksum sur l’hôte peut être un offload artifact. Un grand segment peut venir de GRO/TSO sans exister ainsi sur le fil. Un packet absent d’un fichier limité n’est pas une network loss tant que le point devait réellement le voir.

Lire les frontières dans l’ordre

Frontière	Preuve de réussite	Preuve d’échec utile
Link et IP	direction, adresses et route cohérentes	ARP/NDP absent, ICMP, MTU, asymétrie
TCP	SYN, SYN-ACK, ACK et sequence	retransmission, RST, zero window, timeout
TLS	ClientHello, ServerHello et progression	alert ou frontière SNI/ALPN/certificate
Application	request complet et réponse associée	status, trou ou fermeture précoce
Usage	response time ou failure window	blocage lié à une frontière

Arrêtez-vous à la première frontière sans réussite. Si TCP n’est pas établi, ne commencez pas par HTTP. Si le request atteint le proxy mais pas l’upstream, la limite se situe dans le proxy ou son chemin. S’il atteint l’upstream sans response avant timeout, ACK et progression des bytes séparent application delay et network loss.

Séparer observation et hypothèse

Une observation est pointable : « Le client a envoyé jusqu’à une sequence, l’émetteur a répété un segment trois fois et aucun ACK progressif n’apparaît ici. » L’hypothèse est : « le chemin a perdu le segment ». Une autre capture ou des dropped records peuvent la réfuter. Pour chaque hypothèse, écrivez une preuve favorable et une preuve contraire.

Retransmission ou duplicate ACK ne désigne pas le responsable. Reordering, loss, capture artifact et receiver delay peuvent produire des labels proches. Reliez direction, sequence, ACK, SACK, RTT, window et temps applicatif. Pour DNS/DHCP, associez transaction ID, adresses et essais ; pour HTTP, request et response ; pour TLS, direction du handshake.

Préserver l’original

Calculez le checksum et gardez l’original inchangé. Filtrez, coupez et masquez une working copy. Journalisez input, transformation, heure, packet count avant/après, checksum résultat et motif. Après timestamp rewrite ou suppression de packets, cette copie ne convient plus à certaines mesures de temps ou de séquence.

Remplacez adresses et identifiants de façon stable pour suivre le même endpoint. Ne retirez pas ports, directions ou longueurs nécessaires. Gardez la table secrète séparée. Consultez les limites de capture et d’export et le parcours PCAP Surgery.

QA avant publication

Titre et réponse traitent-ils le même flow ? Chaque durée cite-t-elle horloge et points ? La première frontière défaillante est-elle claire ? Une alternative est-elle testée ? Une seule variable change-t-elle ? L’original subsiste-t-il ? Limitez la conclusion : « Cette capture prouve le comportement côté client pendant cet intervalle, pas l’exécution interne du serveur. »

Le terme Semrush validé PCAP analyzer reste la propriété exclusive du produit. Cet article ne revendique ni volume ni KD non mesurés.

Réponse directe et limite d’acceptation

La réponse courte à « Délai d'expiration DNS, NXDOMAIN et SERVFAIL dans PCAP : Comment distinguer un DNS lent d'un serveur lent » est la suivante : Comment diagnostiquer les délais d'attente DNS, NXDOMAIN, SERVFAIL, les requêtes répétées et le démarrage lent des applications à l'aide des preuves de capture de paquets. Considérez cette phrase comme un résultat à vérifier, et non comme une promesse valable pour toute entrée, tout appareil, tout projet ou tout environnement. Un résultat complet consigne l’état initial, l’action exacte, la sortie visible et la condition qui prouve la fin de la tâche dans PCAP Surgery.

Procédure fondée sur les preuves

Commencez par un cas petit et répétable avant de modifier un projet complet. Notez version de l’application, système, identité de l’entrée ou de l’appareil, réglages pertinents et résultat attendu. Exécutez une action volontaire, conservez la première transition inattendue et comparez-la à un cas nominal si possible. Plusieurs changements simultanés masquent la condition qui a créé ou corrigé le problème.

Point de contrôle 1 : Délai d'expiration DNS, NXDOMAIN et SERVFAIL dans PCAP : Comment distinguer un DNS lent d'

Vérifiez « Délai d'expiration DNS, NXDOMAIN et SERVFAIL dans PCAP : Comment distinguer un DNS lent d'un serveur lent » avec la plus petite entrée représentative. Gardez les réglages indépendants inchangés, répétez la même action et contrôlez le résultat après réouverture ou reconnexion. Une image seule est moins forte qu’un relevé comprenant entrée, réglage, action, sortie et heure.

Point de contrôle 2 : Comment diagnostiquer les délais d'attente DNS, NXDOMAIN, SERVFAIL, les requêtes répétées

Si « Comment diagnostiquer les délais d'attente DNS, NXDOMAIN, SERVFAIL, les requêtes répétées et le démarrage lent des applications à l'aide des preuves d » est ambigu, comparez un cas nominal et un cas défaillant dans des conditions identiques. Marquez la première différence utile au lieu de lister tous les symptômes suivants. Cette limite produit généralement une demande d’assistance plus claire.

Point de contrôle 3 : Le délai d'attente signifie qu'aucune réponse utilisable n'est arrivée

Vérifiez « Le délai d'attente signifie qu'aucune réponse utilisable n'est arrivée » avec la plus petite entrée représentative. Gardez les réglages indépendants inchangés, répétez la même action et contrôlez le résultat après réouverture ou reconnexion. Une image seule est moins forte qu’un relevé comprenant entrée, réglage, action, sortie et heure.

Point de contrôle 4 : NXDOMAIN est une réponse négative valide

Si « NXDOMAIN est une réponse négative valide » est ambigu, comparez un cas nominal et un cas défaillant dans des conditions identiques. Marquez la première différence utile au lieu de lister tous les symptômes suivants. Cette limite produit généralement une demande d’assistance plus claire.

Point de contrôle 5 : SERVFAIL pointe vers un problème de résolution ou d'autorité

Vérifiez « SERVFAIL pointe vers un problème de résolution ou d'autorité » avec la plus petite entrée représentative. Gardez les réglages indépendants inchangés, répétez la même action et contrôlez le résultat après réouverture ou reconnexion. Une image seule est moins forte qu’un relevé comprenant entrée, réglage, action, sortie et heure.

Point de contrôle 6 : Pourquoi la chirurgie PCAP est importante

Si « Pourquoi la chirurgie PCAP est importante » est ambigu, comparez un cas nominal et un cas défaillant dans des conditions identiques. Marquez la première différence utile au lieu de lister tous les symptômes suivants. Cette limite produit généralement une demande d’assistance plus claire.

Point de contrôle 7 : Que conserver dans une capture de dépannage DNS

Vérifiez « Que conserver dans une capture de dépannage DNS » avec la plus petite entrée représentative. Gardez les réglages indépendants inchangés, répétez la même action et contrôlez le résultat après réouverture ou reconnexion. Une image seule est moins forte qu’un relevé comprenant entrée, réglage, action, sortie et heure.

Point de contrôle 8 : Réponse fondée sur les paquets pour « Délai d'expiration DNS, NXDOMAIN et SERVFAIL dans PC

Si « Réponse fondée sur les paquets pour « Délai d'expiration DNS, NXDOMAIN et SERVFAIL dans PCAP : Comment distinguer un DNS lent d'un serveur lent » » est ambigu, comparez un cas nominal et un cas défaillant dans des conditions identiques. Marquez la première différence utile au lieu de lister tous les symptômes suivants. Cette limite produit généralement une demande d’assistance plus claire.

Point de contrôle 9 : Placer la capture sur le chemin

Vérifiez « Placer la capture sur le chemin » avec la plus petite entrée représentative. Gardez les réglages indépendants inchangés, répétez la même action et contrôlez le résultat après réouverture ou reconnexion. Une image seule est moins forte qu’un relevé comprenant entrée, réglage, action, sortie et heure.

Point de contrôle 10 : Lire les frontières dans l’ordre

Si « Lire les frontières dans l’ordre » est ambigu, comparez un cas nominal et un cas défaillant dans des conditions identiques. Marquez la première différence utile au lieu de lister tous les symptômes suivants. Cette limite produit généralement une demande d’assistance plus claire.

Matrice d’acceptation

Point	Preuve à conserver	Critère de réussite
Délai d'expiration DNS, NXDOMAIN et SERVFAIL dans PCAP : Comment distinguer un DNS lent d'un serveur lent	État initial, une action et état obtenu	Une seconde personne reproduit le résultat
Comment diagnostiquer les délais d'attente DNS, NXDOMAIN, SERVFAIL, les requêtes répétées et le démarrage lent des appli	État initial, une action et état obtenu	Une seconde personne reproduit le résultat
Le délai d'attente signifie qu'aucune réponse utilisable n'est arrivée	État initial, une action et état obtenu	Une seconde personne reproduit le résultat
NXDOMAIN est une réponse négative valide	État initial, une action et état obtenu	Une seconde personne reproduit le résultat
SERVFAIL pointe vers un problème de résolution ou d'autorité	État initial, une action et état obtenu	Une seconde personne reproduit le résultat
Pourquoi la chirurgie PCAP est importante	État initial, une action et état obtenu	Une seconde personne reproduit le résultat

Isolation, reprise et transmission

Arrêtez-vous à la première limite en échec. Conservez source, projet, session ou capture, dupliquez avant toute modification destructive et changez une variable par essai. Rejouer un flux entier après plusieurs changements peut modifier le résultat sans expliquer pourquoi.

Distinguez absence de preuve et preuve d’absence. Une vue vide peut signaler mauvaise entrée, portée, filtre, permission, appareil, période ou état du projet. Vérifiez acquisition ou import avant d’interpréter décodeur, éditeur, rapport ou export.

Avant transmission, rouvrez l’artefact durable et inspectez début, point de décision et fin. Notez version, plateforme, configuration, attente, observation et reproduction minimale. Retirez ou masquez les données sensibles et confirmez l’autorisation du destinataire.

Questions et réponses

Quelle est la manière fiable la plus rapide de commencer ?

Utilisez le plus petit cas représentatif, écrivez le résultat attendu et ne changez qu’une variable. Validez le parcours de base avant d’ajouter filtres, effets, modifications, automatisation ou grande source.

Quelles preuves faut-il conserver ?

Gardez identité de l’entrée, version, plateforme, réglages, action exacte, première transition inattendue et sortie finale. Fermez puis rouvrez projet, session, rapport ou export avant de le considérer durable.

Quand faut-il répéter la procédure ?

Répétez-la après un changement pertinent d’application, système, pilote, firmware, modèle, source ou processus. Conservez le cas accepté précédent comme référence non modifiée.

Quand le résultat est-il transmissible ?

Lorsqu’une seconde personne autorisée identifie l’entrée, répète l’action, obtient le même résultat, comprend les limites et ouvre l’artefact sans état local non documenté.

Guides associés

Ces pages dans la même langue couvrent les étapes voisines sans changer le propriétaire canonique du sujet :