| 用途 | 对齐跨机采集时间线 |
|---|---|
| 语法 | editcap -t <秒> in out |
示例
示例
editcap -t -12.5 client.pcapng client-fixed.pcapng
mergecap -w both.pcapng edge.pcapng client-fixed.pcapng偏移是否恒定要先验证：漂移型偏差平移后仍会分叉。
本包目录（400 条）
tcpdump 过滤实战51 条Wireshark 技巧75 条TCP 流分析82 条应用层报文判读71 条丢包与时延定位60 条
抓包工具链61 条
- 抓包点选择原则
- 交换机镜像口（SPAN）要点
- 全链路观测点布局
- 容器内抓包方法
- Kubernetes Pod 抓包路径
- nsenter 进入网络命名空间
- 远端落盘再回传策略
- 非 root 抓包权限配置
- 抓包容量估算与存储规划
- dumpcap 基础用法
- tshark 常用统计一网打尽
- tshark 字段导出做表
- editcap 裁剪时间窗
- 大文件分段分析策略
- 命令行流水线预处理大文件
- 抓包文件脱敏处理
- 本地复现实验环境搭建
- 抓包任务收尾检查单
- ERSPAN 远程镜像
- 分光器与 TAP 的适用场景
- 节点侧抓包的覆盖面
- ss 与抓包联动定位进程
- lsof 反查端口与文件描述符
- any 接口抓包的限制
- Windows 抓包环境要点
- Windows 回环流量抓取
- Wireshark 远程接口（sshdump）
- rpcapd 远程采集注意项
- 采集机对时实践
- dumpcap 自动停止条件
- dumpcap 多接口采集
- tshark 会话统计判读
- 协议分层统计（io,phs）
- tshark I/O breakdown 统计
- tshark 两遍解析（-2）
- tshark 强制解码指定端口
- editcap 切分大文件
- 按包号挑选导出
- editcap 格式转换
- mergecap 合并多文件
- capinfos 文件完备性检查
- pcapng 块结构速览
- 过滤器书签与复用
- Wireshark 配置档管理
- 报文重放工具用法
- scapy 读包做定制统计
- 导出对象核对传输内容
- Expert Information 面板用法
- 自定义配色规则
- 抓包操作的合规与授权
- 抓包文件交接规范
- 抓包文件权限与保管
- 抓包文件命名规范
- 工单附件的精简策略
- 回环抓包自测练习
- 命令行手册速查索引
- 管道直通 Wireshark 分析
- 文本构造包文件（text2pcap）
- 重复报文的去重处理
- 跨文件时间偏移校正
- 工具链版本核对
跨文件时间偏移校正
两台机器时间有固定偏差时，用 editcap -t 秒数平移一个文件后再合并：快速对齐时间线；偏差量由已知事件反推。
易错点
- 以一次事件反推的偏移只对该时段有效，长窗口慎用
- 平移属分析性修正，原始文件保留并记录修正量
数据来源与参考
- editcap 手册（-t）