| 用途 | 从海量帧中提取慢请求样本 |
|---|---|
| 方法 | 显示过滤 + 排序 + 抽样 |
示例
示例
tshark -r big.pcap -Y 'http.time > 2' -T fields -e frame.time -e http.request.uri -e http.time | head -50抽出的样本按 URI/客户端/时段分组找共性，比逐个看效率高。
长尾样本抽取方法
定位长尾要能捞出慢样本：用过滤条件（ack_rtt 大、TIme 超阈值）从大文件中抽取典型样本，逐条拆解找共性。
易错点
- 只取排名靠前的几条会偏样本，随机抽样与阈值抽样结合
- 抽取后核对覆盖的业务范围，避免结论过窄
数据来源与参考
- tshark 手册（-Y/-T）