首页/网络/抓包与流量分析速查/Wireshark 时间显示格式
Wireshark 技巧75 条

Wireshark 时间显示格式

View → Time Display Format 切换绝对/相对时间、秒/毫秒/微秒精度;排障时用相对时间观察事件间隔,报告时切回绝对时间标注时刻。

时间显示格式是什么

View → Time Display Format 决定时间列的参照系与精度:可以切换绝对时间、距首个报文的相对时间、与上一包的间隔,精度从秒一直到纳秒。排障时用相对时间观察事件间隔最直观,写报告时再切回绝对时间标注具体时刻。

基本信息

入口View → Time Display Format
可选参照绝对时间、距首包、距上一包、距上一显示包
精度选项秒 / 毫秒 / 微秒 / 纳秒
相关操作右键报文可设为临时参考点
影响范围仅改变显示方式,不修改报文与文件内容

典型使用场景

  • 用相对时间观察两个事件之间隔了多久
  • 用与上一包的间隔快速发现长时间停顿
  • 写分析报告时切回绝对时间标注故障时刻
  • 分析低时延系统时切到微秒精度看抖动
  • 与日志对齐时统一时间格式,减少人工换算

操作路径

操作路径
View → Time Display Format → Seconds Since Previous Captured Packet   # 看间隔
View → Time Display Format → Time of Day                            # 看绝对时刻
View → Time Display Format → Precision → Microseconds               # 提高精度
右键报文 → Set/Unset Time Reference                                 # 设参考点

显示方式与适用场景

显示方式含义适用场景
绝对时间当天的具体时刻报告与日志对齐
距首包相对抓包起点的秒数按时间窗切片分析
距上一包与上一报文的间隔快速定位停顿
高精度显示微秒或纳秒级低时延系统抖动分析
导出表格时时间列格式会跟随该设置,与同事对表前先统一口径。
显示精度不会超过采集时的真实精度,调到纳秒显示并不代表数据本身有纳秒级分辨率。

补充要点

  • 与日志对齐时统一到绝对时间,分析事件顺序时切到相对时间
  • 参考点功能可以把任意报文当作计时起点,测量间隔很方便
  • 把常用格式写进配置文件,切换场景时不必重复设置
  • 导出数据前确认时间格式,避免对方按错误的参照系解读
相对时间的起点是文件中的第一个报文,修改过滤条件不会改变这个起点。

易错点

  • 分析时忘记切换格式,用绝对时间硬算间隔,效率低且容易算错
  • 交付报告时用相对时间标注,接收方无法对应到真实时间点
  • 误把显示精度当数据精度,据此对低时延问题下结论

数据来源与参考

  • Wireshark User's Guide(时间显示)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌