Мониторинг запросов к DNS-серверу

Для быстрого мониторинга запросов к DNS_серверу можно воспользоваться простым скриптом
tcpdump -n -i fxp0 -c 20 dst port 53
где fxp0 - интерфейс, на котором снимается трафик, 20,- количество пакетов для перехвата.
Необходимые опции можно узнать в man tcpdump. Там-же можно узнать о формате вывода запросов DNS:

If a query contains an answer, nameserver, or authorative section, ancount,
nscount, or arcount are printed as [na], [nn], or [nau], where 'n' is the
appropriate count.

Это позволяет показать только нужные записи, например запросы клиентов в два столбца: "IP-адрес клиента" и "запрошенный адрес", исключая запросы PTR:

tcpdump -n -i fxp0 -c 20 dst port 53 | grep -v '1au' | grep -v ".in-addr.arpa." | awk '{ print $3,$8};'