多点采集文件合并
多点采集之后要合并成一个文件统一分析，合并工具默认按时间戳排序输出。输入文件的顺序会影响时间戳相同的帧的先后，所以在各机时钟未同步的情况下，合并出来的先后顺序并不代表真实时序，这一点在结论里必须说清楚。
基本信息
| 适用平台 | Wireshark 自带命令行工具 |
|---|---|
| 语法 | 指定输出文件后跟多个输入文件 |
| 排序规则 | 默认按时间戳排序 |
| 接口处理 | 各输入文件的接口自动进入接口表 |
典型使用场景
- 客户端与边缘多点采集后统一分析
- 分段采集的文件合并还原完整时间线
- 多主机视角对照同一会话
- 归档时把分散文件整理成一份
- 把两个方向的单向采集合并还原双向
合并与核对
合并与核对
mergecap -w merged.pcapng client.pcapng edge.pcapng
# 按时间戳合并，各文件的接口自动进入接口表
tshark -r merged.pcapng -T fields -e frame.interface_id | sort | uniq -c
# 合并后按接口编号确认各个来源都有数据
# 合并前建议逐文件查看元数据，核对时间范围与完整性注意项
| 注意项 | 说明 | 后果 |
|---|---|---|
| 输入顺序 | 影响相同时间戳帧的先后 | 顺序变化会让时序看起来不同 |
| 时钟同步 | 合并有意义的前提 | 未同步时时序无参考价值 |
| 接口表 | 各文件接口自动编号 | 分析时按编号区分来源 |
| 文件体积 | 合并后显著变大 | 先过滤再统计效率更高 |
合并前建议逐个文件核对时间范围与完整性，确认没有缺段再合并。少了任何一段，合并出的时间线都会留下空洞，而这种空洞在分析阶段很难被发现。
跨机时钟未同步时，合并后的先后顺序没有意义，先对时再合并。另外合并后文件明显变大，直接跑统计会很慢，先按需过滤再统计，效率高得多。
操作流程
- 先逐个文件查看元数据，确认时间范围与包数
- 核对各采集点时钟同步状态
- 按固定顺序输入文件，保证结果可复现
- 合并后按接口编号确认来源完整
- 把合并参数与文件顺序记录在报告里