三件套联动
三件套联动
# 1) 追踪：按 trace_id 查 span 耗时（示例为查询思路）
# 2) 日志串联：
grep -h 'trace_id=9f3a' /var/log/app/*.log | sort | head -40
# 3) 抓包核对对应时间窗的下游交互：
tshark -r /tmp/cap.pcap -Y 'ip.addr == 10.0.0.8 && tcp.port == 3306' -T fields -e frame.time_relative -e tcp.len | head -20| 判读 | 应用处理耗时长 → 查代码/SQL/锁；网络往返耗时长 → 查链路与对端 |
|---|---|
| 前置 | 各服务时钟同步（NTP），否则 span 无法比较 |
| 补埋点 | 无 trace_id 时先用『时间窗 + 客户端 IP + URL』近似关联 |
网络与应用的『锅』要在同一时间轴上判定：把 trace 时间窗、日志时间窗与 pcap 三者的时间轴对齐后再下结论。