关于时间ntp服务及较时问题

时间过得好快,一下子又是一周了。刚看了一下时间,上周五写的VPN,一周时间忙这忙那,瞎忙一通。

今天补一篇吧,要不一周都更不了一次,自己都对不起自己了。

今天写的是NTP,较时服务。仿佛看起来不太用得上,其实很重要。我这里有三个场景都碰到过因为时间不对而导致的问题。第一次是遇到考试服务器时间不准,而导致上机考试时间推后的问题。其实WINDOWS自已会去互联网上去找到微软自己的NTP较时服务器去较时。但因为考试要求不能连接外网,而且就算是能连外网也会因为微软默认的NTP因某些情况不稳定而较不了时。第二次是视频监控,因为视频的硬盘录像机有很多台,而且视频监控要求必须是专网且和互联网不联通的,导致录像时间有偏差,且多个录像时间不一致。第三次是某门禁系统,会定时通过WEBSERVICE从省级服务器取数据,一直很正常。忽然出现取不了数据了,最终排查的结果是上下级服务器时间不一致,时间差了2分钟,导致取数据报错。

在这样的应用场景里如果完全靠人用手工去定期较时,肯定是最不稳定、可靠性最差的方案。也就是我前面三次出故障的原因。

1、针对第三种情况,因为能上互联网。就直接修改系统的NTP服务器地址,把默认的微软的NTP服务器改成国内的就可以了。

这里提供几个国内能用的NTP服务器

中国[China] cn.ntp.org.cn [58.220.207.226][47.92.108.218][202.112.29.82] [202.108.6.95] [120.25.108.11] [182.92.12.11] [115.28.122.198]

2、针对第一和第二种情况,就只能在内网架设NTP服务器了。如果有充足的预算,可以购买专用的NTP服务器,仿佛国内只有一、二家有生产许可,利用卫星信号较时。我这里当然没有这么多钱,只能用另一种方案。用双网卡的服务器来做NTP服务器,一块连互联网,一块连内网。当然连接的二个端口安全策略要做好,只许可NTP,其他全部封掉。我最终是用了虚拟化技术,用了一台虚机来实现的。NTP的软件是网上找到一款WINDOWS下面的较时软件,Quick NTP。百度里可以很轻松的搜索到软件和安装教程。我这里就不多说了,安装好后如下图所示。后面,我们只需把内网所有需要较时的服务器全部指到我们自己的这台NTP服务器的内网地址就可以了。

 

3、补充一下互联网巨头们自建的NTP服务(来源:知乎,链接:https://www.zhihu.com/question/30252609/answer/108840850)

阿里云提供公共NTP服务,由于阿里云有大量外售的云主机以及YunOS手机天猫魔盒等都需要精确时间同步,因此建设了这一基础设施,公网均可访问,授时信号来自GPS、北斗两套卫星信号,并配备原子钟守时,以下7个域名提供服务,大家可以直接使用。
http://time1.aliyun.com
http://time2.aliyun.com
http://time3.aliyun.com
http://time4.aliyun.com
http://time5.aliyun.com
http://time6.aliyun.com
http://time7.aliyun.com
windows服务器,或者你使用ntpdate,那么可以直接使用http://time.pool.aliyun.com

另外,如果服务器在国外,苹果提供的公共NTP服务,以下7个域名

http://time1.apple.com
http://time2.apple.com
http://time3.apple.com
http://time4.apple.com
http://time5.apple.com
http://time6.apple.com
http://time7.apple.com

Google(谷歌)提供的NTP服务,以下4个域名
http://time1.google.com
http://time2.google.com
http://time3.google.com
http://time4.google.com

 

3、自建Centos ntp服务器

自建的WINDOWS时间服务,有些不稳定。所以近期改成了Centos的,还是虚拟机模式。安装方法如下:

(1)最小化安装好Centos 7之后,安装相关的服务。

yum -y install wget curl net-tools lsof zip unzip ntpdate ntp

其中ntpdate ntp是时间相关服务。

(2)查看当前服务器时区&列出时区并设置时区(如已是正确时区,请略过):

timedatectl
timedatectl list-timezones
timedatectl set-timezone Asia/Shanghai

(3)修改NTP配置:

vim /etc/ntp.conf

配置文件如下:(请对应需求修改)

# For more information about this file, see the man pages
# ntp.conf(5), ntp_acc(5), ntp_auth(5), ntp_clock(5), ntp_misc(5), ntp_mon(5).

driftfile /var/lib/ntp/drift

#新增:日志目录.
logfile /var/log/ntpd.log

# Permit time synchronization with our time source, but do not
# permit the source to query or modify the service on this system.
restrict default nomodify notrap nopeer noquery

# Permit all access over the loopback interface. This could
# be tightened as well, but to do so would effect some of
# the administrative functions.
restrict 127.0.0.1
restrict ::1
#这一行的含义是授权172.16.128.0网段上的所有机器可以从这台机器上查询和同步时间.
restrict 172.16.128.0 mask 255.255.255.0 nomodify notrap

# Hosts on local network are less restricted.
#restrict 192.168.1.0 mask 255.255.255.0 nomodify notrap

# Use public servers from the pool.ntp.org project.
# Please consider joining the pool (http://www.pool.ntp.org/join.html).

#server 0.centos.pool.ntp.org iburst
#server 1.centos.pool.ntp.org iburst
#server 2.centos.pool.ntp.org iburst
#server 3.centos.pool.ntp.org iburst

#新增:时间服务器列表.
server 0.cn.pool.ntp.org iburst
server 1.cn.pool.ntp.org iburst
server 2.cn.pool.ntp.org iburst
server 3.cn.pool.ntp.org iburst

#新增:当外部时间不可用时,使用本地时间.
server 172.16.128.171 iburst
fudge 127.0.0.1 stratum 10

#broadcast 192.168.1.255 autokey # broadcast server
#broadcastclient # broadcast client
#broadcast 224.0.1.1 autokey # multicast server
#multicastclient 224.0.1.1 # multicast client
#manycastserver 239.255.254.254 # manycast server
#manycastclient 239.255.254.254 autokey # manycast client

#新增:允许上层时间服务器主动修改本机时间.
restrict 0.cn.pool.ntp.org nomodify notrap noquery
restrict 1.cn.pool.ntp.org nomodify notrap noquery
restrict 2.cn.pool.ntp.org nomodify notrap noquery

# Enable public key cryptography.
#crypto

includefile /etc/ntp/crypto/pw

# Key file containing the keys and key identifiers used when operating
# with symmetric key cryptography.
keys /etc/ntp/keys

# Specify the key identifiers which are trusted.
#trustedkey 4 8 42

# Specify the key identifier to use with the ntpdc utility.
#requestkey 8

# Specify the key identifier to use with the ntpq utility.
#controlkey 8

# Enable writing of statistics records.
#statistics clockstats cryptostats loopstats peerstats

# Disable the monitoring facility to prevent amplification attacks using ntpdc
# monlist command when default restrict does not include the noquery flag. See
# CVE-2013-5211 for more details.
# Note: Monitoring will not be disabled with the limited restriction flag.
disable monitor

(4)设置系统开机自启动:

# systemctl enable ntpd
# systemctl enable ntpdate
# systemctl is-enabled ntpd

启动NTP服务器:

# systemctl start ntpdate
# systemctl start ntpd

(5)防火墙配置

我还是比较习惯用iptables,所以先停自带firewall。操作如下:

systemctl status firewalld.service #检测是否开启了firewall

systemctl stop firewalld.service #关闭firewall

systemctl disable firewalld.service #禁止firewall开机自启

安装iptables

yum install -y iptables-services  #安装iptables

systemctl start  iptables.service #开启iptables

systemctl enable  iptables.service #允许iptablesl开机自启

配置iptables,只开ntp端口123

iptables -F INPUT #清除INPUT下的所有规则,只有在初始化的时候才能使用!!!

iptables -I INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT #本条规则为放行ESTABLISHED与RELATED状态的包,也就是本机主动发起的对话,对方机器回应时直接放行。这条规则可用于安装调试时使用,服务器正常使用时建议禁用,用明确路由的规则来代替。这里给时间服务对时使用

iptables -I INPUT -p udp –dport 123 -j ACCEPT #无条件开放123时间服务端口

iptables -A INPUT -j DROP #在INPUT最后追加一条对所有包进行DROP的规则

service iptables save #保存当前规则

(6)查看ntp服务器与上层ntp服务器的状态,如果这里显示正常,则配置全部完成。

ntpq -p

其中,remote - 本机和上层ntp的ip或主机名,“+”表示优先,“*”表示次优先
refid - 参考上一层ntp主机地址
st - stratum阶层
when - 多少秒前曾经同步过时间
poll - 下次更新在多少秒后
reach - 已经向上层ntp服务器要求更新的次数
delay - 网络延迟
offset - 时间补偿
jitter - 系统时间与bios时间差

或者用watch ntpq -p 每隔2秒,刷新一次状态。

未经允许不得转载:生于七零年代 » 关于时间ntp服务及较时问题

赞 (3) 打赏

评论

9+4=

觉得文章有用就打赏一下文章作者

微信扫一扫打赏