抓包时间戳理论和机制

1、NTP时钟同步的时间是时钟源的的当前时间，还是UTC零时区时间？

2、网络设备上抓包，报文中是否带有时间戳，或者报文中的时间该有谁来决定？

3、时钟源，与client上dis clock时间一致，如果在client上抓包发现时间总是差8小时的倍数可能是什么原因，该如何排查、怎样规范配置避免？

Q：NTP时钟同步的时间是时钟源的的当前时间，还是UTC零时区时间？

A：NTP同步时钟源的UTC 0时区时间，即使时钟源为东八区时间12:00，client仍然会同步0时区时间04:00。

Q：网络设备上抓包，报文中是否带有时间戳，或者报文中的时间该有谁来决定？

A：常规报文在网络设备上转发不带时间戳，在一台设备上抓包，报文的时间就是该设备上的时间，非常规报文有些是日志类型报文会带有时间戳。

测试结果：

（1） NTP同步时钟源的UTC 0时区时间

时钟源UTC时间为12.14 18:37，东八区Beijing时间为12.15 02:37

client同步的时间为12.17  18:27

（2） 时钟源，与client上dis clock时间一致，但是在client上抓包发现时间差8现象；

抓包发现报文显示的时间为12.15  02:57比设备实际时间多8个小时（差几分种为操作时间差），此处逻辑为：报文实际时间就是12.14  18:54，只不过抓包软件会根据电脑当前时区与报文中带的0时区作比较，如果不一致会自动补上差值，这也就下边截图报文中arrive time时间为中国区时间12.15 02:57的原因。

（3）如何规范性配置，避免第二点现象；

国内设备所有同步时间的设备（包括时钟源及ntp client），在开局情况下，建议都改为东八区时间，这样及保证时钟源及Ntp client时间一致，而且抓包的显示时间也是设备当前时间；

目前NTP client时间为12.15  03:07，但是实际上NTP从时钟源同步的时间仍然是时钟源0时区的时间，即12.14  18:57

抓包显示时间并未差8小时，符合预期