跨机时间偏移怎么修
两台机器时钟不同步时，同一次交互在两个文件里的时间戳会整体错开一个固定量，合并后时间线互相穿插，因果顺序全乱。editcap 的 -t 选项把整个文件的每个时间戳平移指定秒数（支持负数与小数），修正后再用 mergecap 合并，两条时间线就对齐了。偏移量由已知事件反推，例如同一次请求在两端的记录时刻之差。
基本信息
| 平移语法 | editcap -t <秒数> 输入文件 输出文件 |
|---|---|
| 取值 | 支持负数与小数，如 -12.5 表示整体提前 12.5 秒 |
| 合并命令 | mergecap -w 合并结果 文件1 文件2，默认按时间排序 |
| 偏移来源 | 由同一次交互或心跳在两端的时刻差反推 |
| 前提条件 | 偏差必须是固定值；时钟漂移型偏差平移后仍会分叉 |
| 留痕要求 | 保留原始文件并记录修正量 |
典型使用场景
- 双点采集：客户端与服务端各抓一份，时钟差几分钟，修正后看端到端耗时
- 镜像与主机对照：多个采集点时间基准不同，需要统一后再排时序
- 历史数据复用：旧文件的时间戳来自未对时的机器，修正后才能与新数据对比
- 跨时区采集：设备按本地时间记录，换算成统一时区后再合并
- 演练复盘：把不同机器上的录像与抓包按统一时间线对齐
对齐与合并
对齐与合并
# 已知客户端时钟比边缘设备快 12.5 秒, 把客户端文件整体提前
editcap -t -12.5 client.pcapng client-fixed.pcapng
# 平移后合并, mergecap 默认按时间戳排序
mergecap -w both.pcapng edge.pcapng client-fixed.pcapng
capinfos both.pcapng # 核对合并后时间范围是否连续合理
# 如需保持文件顺序而不重新排序, 可用 -a 选项(以本机帮助为准)操作步骤与要点
| 步骤 | 操作 | 要点 |
|---|---|---|
| 定基准 | 选时钟可信的一端作为参照 | 优先选已同步 NTP 的一侧 |
| 反推偏移 | 找同一次交互在两端的时刻 | 多点取样验证是否恒定 |
| 执行平移 | editcap -t 输出新文件 | 不要覆盖原始文件 |
| 合并 | mergecap 按时间排序输出 | 合并后抽查交接处时序是否连续 |
| 复核 | 用已知事件再次核对顺序 | 偏差随时间的漂移会在这里暴露 |
| 留痕 | 记录偏移量与依据事件 | 他人复现时需要这两个信息 |
以一次事件反推出的偏移只在该时段可靠；抓包跨了几小时，机械钟慢慢漂移会让平移后的时间线两头都不准，这种情况要在中间时段再取一个参考点验证。
平移属于分析性修正，原始文件必须保留，修正后的文件在文件名或说明里标注偏移量，避免后续被当作原始证据使用。