采集机对时为什么重要
抓包机的时钟决定了它记录的时间戳是否可信。做跨机对比时，各采集点必须与同一时间源保持同步，否则两台机器上的时间差毫无意义，甚至会得出方向相反的因果结论。虚拟机时钟尤其容易漂移，长时间采集前后都要核对一次偏移。
基本信息
| 适用平台 | Linux 使用 chrony 或 ntpd；Windows 使用系统时间服务 |
|---|---|
| 核对命令 | chronyc tracking、chronyc sources -v |
| 关键指标 | 系统时间偏移量（System time offset） |
| 容器注意 | 容器时钟与宿主一致，但仍要确认配置与时区 |
典型使用场景
- 多抓包点联合分析前的准备工作
- 长时间采集前后核对时钟漂移
- 与监控系统的时间线对齐
- 排查因时间戳异常导致的因果误判
- 虚拟机与物理机混合环境的基线统一
核对与记录
核对与记录
chronyc tracking
# 关注系统时间偏移量，它反映本机相对时间源的偏差
chronyc sources -v
# 查看时间源状态与层级，确认同步链路本身正常
timedatectl status
# 快速确认时区与同步状态；输出统一用 UTC 或统一标注时区检查项
| 检查项 | 要求 | 不满足的后果 |
|---|---|---|
| 时间偏移 | 远小于待分辨的时间差 | 先后关系不可信 |
| 时间源状态 | 正常同步 | 时间漂移无人察觉 |
| 时区设置 | 统一，或输出时统一标注 | 报表整体偏移 |
| 虚拟机时钟 | 有同步机制并定期核对 | 长采集期间漂移明显 |
虚拟机时钟容易漂移，长时间抓包前后各核对一次偏移是低成本的好习惯。发现漂移后重新采集，比事后猜测时间线要省事得多，也更经得起复核。
同步完成前开始采集的数据只能做序列分析，不能下绝对时间结论。时区配置错误会让整份报表整体偏移，输出时统一用 UTC 或逐项标注，避免他人误读。
排查顺序
- 先确认各采集点的时钟同步状态与偏移量级
- 记录采集开始与结束时刻，便于事后评估漂移
- 统一时区并写进报告说明
- 多台机器联合分析前，先比对同一事件在两份文件中的时间差
- 发现偏移超出可接受范围时重新采集，不要硬做结论