tcpdump默认时间戳为相对启动秒数，不便于跨时段分析；推荐用-tttt输出本地时区绝对时间（如2024-05-22 14:32:18.123456），-tt适用于脚本处理，禁用-t以防丢失时间上下文。
tcpdump 默认输出的时间戳是相对启动时刻的秒数（如 0.000123），对排查跨时段、跨服务或需比对系统日志的网络问题很不友好。启用更清晰的时间戳格式（如绝对时间、微秒级、UTC 或本地时区）能显著提升日志可读性与定位效率。
用 -tttt 输出完整绝对时间
加四个 t（-tttt）会显示形如 2024-05-22 14:32:18.123456 的格式，包含年月日、时分秒和微秒，且默认使用本地时区。它直接对应系统时间，方便与应用日志、监控告警或运维操作记录对齐。
- 推荐在长期抓包或需要人工分析时首选：tcpdump -tttt -i eth0 port 80
- 注意：-tttt 和 -t（单 t）互斥；-t 会关闭所有时间戳，-tttt 是最常用、最实用的替代方案
- 若需 UTC 时间，可临时设置时区运行：TZ=UTC tcpdump -tttt -i eth0
用 -tt 配合外部工具做时间计算
-tt 输出自 Unix 纪元起的秒数（含微秒，如 1716417138.123456），适合脚本处理或导入 ELK、Grafana 等系统做时间聚合分析。虽然不直观，但精度高、无时区歧义，便于自动化流水线解析。
- 例如配合 awk 转成可读格式：tcpdump -tt -i eth0 | awk '{gsub(/^/, strftime("%Y-%m-%d %H:%M:%S", $1) " " substr($1, index($1,"."))); print}'
- 写入文件时建议保留 -tt：tcpdump -tt -w capture.pcap，后续用 tshark -t ad -r capture.pcap 查看带日期的时间戳
避免 -t 参数误用导致信息丢失
-t（单个 t）仅关闭时间戳显示，输出类似 IP 192.168.1.10.54321 > 10.0.0.5.80: Flags [S]，看似简洁，实则让每条记录失去时间上下文。在非实时调试场景下，这会让问题复现、延迟分析、重放验证变得几乎不可行。
- 除非在嵌入式设备等极端资源受限环境，且有配套时间同步机制，否则不建议用 -t
- 如果只是想缩短时间显示长度，可用 -t (小写) + -nn（禁用域名/端口解析）平衡可读性与体积
- 误加 -t 后发现日志无法定位时间点？立即改用 -tttt 重抓，并检查是否遗漏了关键窗口期
结合 -C 和 -W 实现带时间标记的滚动抓包
对于长时间监听，用 -C（单文件大小上限）和 -W（文件轮转个数）生成多个带时间信息的文件，再配合 -tttt 让每个包都有明确时间锚点，既防止单文件过大，又保留完整时序线索。
- 示例：tcpdump -tttt -i eth0 -C 100 -W 5 -w /var/log/packet_%Y-%m-%d_%H-%M-%S.pcap
- 注意：-w 不支持直接在文件名中展开 %Y 等格式，需用 script 封装或改用 -G（按秒轮转）+ date 命令组合
- 更稳妥做法：tcpdump -tttt -i eth0 -G 3600 -w /tmp/cap_$(date +\%Y\%m\%d_\%H).pcap
