Auch ob es sich um rekursive Anfragen handelt lässt sich aus einem Flag in den Anfragen herauslesen. Auch hier muss der Filterausdruck wieder etwas komplexer sein denn Flags der Anfrage werden in den Antworten nicht gelöscht (mal vom Flag, das Anfrage und Antwort unterscheidet abgesehen).

dns.flags.response == 0 && dns.flags.recdesired == 1

Es sollten alle DNS-Anfragen sichtbar sein, denn der rekursive/lokale DNS-Server nimmt rekursive Anfragen an (wandelt diese aber in iterative um, um das globale DNS zu befragen).