抓包与监控怎么对齐
把抓包统计与监控指标按同一时间戳对齐，是判断因果顺序的基本功。指标突变点与抓包异常点谁先谁后，能区分「负载引发了故障」还是「故障造成了负载变化」。前提是两边时钟与采样粒度可比，否则时间线本身就是错的，后面的推理全都不成立。
基本信息
| 方法 | 统一时区与时钟后对齐事件 |
|---|---|
| 抓包侧特征 | 重传、零窗口、延迟跃升 |
| 监控侧特征 | QPS、错误率、资源占用拐点 |
| 前置条件 | 时钟同步，采样粒度可比 |
典型使用场景
- 判断故障与负载上升的先后顺序
- 用抓包解释监控上无法定位的延迟尖峰
- 验证发布或变更时间点与异常起点是否吻合
- 跨团队协作时提供统一的时间线证据
- 复盘报告中的因果链梳理
抽取与对齐
抽取与对齐
tshark -r a.pcap -Y "tcp.analysis.retransmission || tcp.analysis.zero_window" -T fields -e frame.time_relative -e tcp.stream
# 抽出抓包侧的异常时刻清单，作为时间线的一侧
tshark -r a.pcap -q -z io,stat,10
# 按 10 秒聚合流量，与监控平台的曲线对齐粒度
# 对齐前先记录两边时钟偏差，偏差要远小于需要分辨的时间差对齐要素
| 要素 | 要求 | 不满足的后果 |
|---|---|---|
| 时区 | 两边统一 | 因果顺序颠倒 |
| 时钟同步 | 偏差小于待分辨的间隔 | 先后关系不可信 |
| 采样粒度 | 明确区分秒级与分钟级 | 尖峰被平均掉 |
| 变更记录 | 记录发布与配置时间点 | 无法判断是否相关 |
监控采样粒度较粗时，抓包是精细化补充。两者不是替代关系：用粗粒度的监控发现异常，再用细粒度的抓包解释异常，这个组合最省时间。
时区不一致会造成「因果颠倒」的误判，而机器时钟未同步时先后关系根本不可信。分析前先统一时区并核对时钟偏差，这一步省不得，省了结论就站不住。
排查顺序
- 先统一时区与时间格式，确认两边时间可以放在一张图上
- 核对时钟同步状态，必要时先校时再重新采集
- 把抓包异常时刻与监控拐点列成一张时间线表
- 标注谁先动，再判断是容量驱动还是故障驱动
- 把变更记录叠加进来，确认异常起点与操作时间的距离