Dlaczego tak
Filtry przechwytywania używają składni BPF, w której wyrażenie port 53 obejmuje ten port w obu protokołach transportowych i jako źródło lub cel. Zapisy dns i udp.port == 53 to składnia filtrów wyświetlania, której nie da się użyć przy przechwytywaniu. Wyrażenie tcp port 53 pominie większość zapytań DNS, przesyłanych przez UDP.