ntp时间服务器 时间同步

 

2.这里提供几个公网时间服务器地址

阿里云时间服务器，授时信号来自GPS、北斗两套卫星信号，并配备原子钟守时，
以下7个域名提供服务，大家可以直接使用。

或者直接访问这个地址  time.pool.aliyun.com

# ntpdate -u time.pool.aliyun.com


13 Nov 10:48:28 ntpdate[26527]: adjust time server 182.92.12.11 offset 0.000458 sec

centos也有几个时间服务器（最好还是用国内的吧）
0.centos.pool.ntp.org
1.centos.pool.ntp.org
2.centos.pool.ntp.org

 

二、 自建ntpd 时间同步服务器

NTP通信协议原理

1. 首先主机启动NTP。
2. 客户端会向NTP服务器发送调整时间的message。
3. 然后NTP server会送出当前的标准时间给client
4. client接受来自server的时间后，会根据这个信息来调整自己的时间。这样就实现了网络对时。

NTP这个deamon采用了UDP 123端口。

远程服务器的层级（stratum）：
由于NTP是层型结构,有顶端的服务器,多层的Relay Server再到客户端.
所以服务器从高到低级别可以设定为1-16.
为了减缓负荷和网络堵塞,原则上应该避免直接连接到级别为1的服务器的

1.配置ntp服务器
安装  
# yum install ntp

开机自启动
# chkconfig ntpd on

 

修改配置文件：

 [root@test01 ~]# less /etc/ntp.conf 
# For more information about this file, see the man pages
# ntp.conf(5), ntp_acc(5), ntp_auth(5), ntp_clock(5), ntp_misc(5), ntp_mon(5).

driftfile /var/lib/ntp/drift            系统时间与BIOS事件的偏差记录

 

配置与本机同步的机器权限

# Permit time synchronization with our time source, but do not
# permit the source to query or modify the service on this system.

restrict default kod nomodify notrap nopeer noquery
restrict -6 default kod nomodify notrap nopeer noquery 
    
默认拒绝任何操作 
 
任何ip4地址、ip6地址  不能修改、不能trap远程登录、不能尝试对等、不能校对时间，

restrict 控制相关权限。

语法为：  restrict [ 客户端IP ]  mask  [ IP掩码 ]  [参数]

其中IP地址也可以是default ，default 就是指所有的IP

参数有以下几个：

nomodify：客户端不能更改服务端的时间参数，但是客户端可以通过服务端进行网络校时。

notrust ：拒絕沒有認證的用戶端

noquery ：客户端不能使用ntpq，ntpc来查询ntp服务器，等于不提供校对时间服务

notrap ：不提供trap远程登录功能，trap服务是一种远程时间日志服务

拒绝为匹配的主机提供模式 6 控制消息陷阱服务。陷阱服务是 ntpdq 控制消息协议的子系统，用于远程事件日志记录程序。

nopeer ：用于阻止主机尝试与服务器对等

kod ： 访问违规时发送 KoD 包，向不安全的访问者发送Kiss-Of-Death报文。

restrict -6 表示IPV6地址的权限设置。

 

如何控制客户的范围

# Permit all access over the loopback interface.  This could
 
下面的配置 允许运行任何权限的访问在本地接口，

# be tightened as well, but to do so would effect some of
   
这里最好收紧权限，但是会影响一些管理功能

# the administrative functions.

restrict 127.0.0.1 

restrict ::1

# Hosts on local network are less restricted.  
                 
配置
 
 给本地局域网络配置小一些的权限

#restrict 192.168.1.0 mask 255.255.255.0 nomodify notrap

 

本机与公共时间服务器同步选项

设定NTP主机来源（其中prefer表示优先主机）

# Use public servers from the pool.ntp.org project.   使用公共服务器从 时间池工程中


# Please consider joining the pool (
http://www.pool.ntp.org/join.html
).  请考虑加入这个 时间池 项目


server 0.centos.pool.ntp.org iburst


server 1.centos.pool.ntp.org iburst


server 2.centos.pool.ntp.org iburst


server 3.centos.pool.ntp.org iburst

 

server host  [ key n ] [ version n ] [ prefer ] [ mode n ] [ minpoll n ] [ maxpoll n ] [ iburst ]

其中host是上层NTP服务器的IP地址或域名，随后所跟的参数解释如下所示：

◆ key： 表示所有发往服务器的报文包含有秘钥加密的认证信息，n是32位的整数，表示秘钥号。

◆ version： 表示发往上层服务器的报文使用的版本号，n默认是3，可以是1或者2。

◆ prefer： 优先使用。

◆ mode： 指定数据报文mode字段的值。

◆ minpoll： 指定与查询该服务器的最小时间间隔为2的n次方秒，n默认为6，范围为4-14。

◆ maxpoll：  指定与查询该服务器的最大时间间隔为2的n次方秒，n默认为10，范围为4-14。

◆ iburst： 当初始同步请求时，采用突发方式接连发送8个报文，时间间隔为2秒。

#broadcast 192.168.1.255 autokey        # broadcast server


#broadcastclient                        # broadcast client


#broadcast 224.0.1.1 autokey            # multicast server


#multicastclient 224.0.1.1              # multicast client


#manycastserver 239.255.254.254         # manycast server


#manycastclient 239.255.254.254 autokey # manycast client

当外部时间不可用时，以本地（本机）时间作为服务时间
本地时间以 127.127.1.0 表示  级别为10


# Undisciplined Local Clock. This is a fake driver intended for backup


# and when no outside source of synchronized time is available.


#server 127.127.1.0     # local clock


#fudge  127.127.1.0 stratum 10

下面是一些加密认证的配置


# Enable public key cryptography.


#crypto


includefile /etc/ntp/crypto/pw

# Key file containing the keys and key identifiers used when operating


# with symmetric key cryptography.


keys /etc/ntp/keys

# Specify the key identifiers which are trusted.


#trustedkey 4 8 42

# Specify the key identifier to use with the ntpdc utility.


#requestkey 8

# Specify the key identifier to use with the ntpq utility.


#controlkey 8

 

# Enable writing of statistics records.

#statistics clockstats cryptostats loopstats peerstats

一个简单实例如下：

# 查看ntp的端口,应该看到123端口

#netstat
-unlnp

# 查看ntp服务器有无和上层连通

#ntpstat

 

synchronised to NTP server () at stratum 2

time
correct to within 74 ms

polling server every 128 s

# 注意：此命令出现上述synchronised结果比较慢，我的用了大概5分钟。

ntptrace -n 127.0.0.1

 

127.0.0.1: stratum 3, offset -0.001095, synch distance 0.532610

116.193.83.174: timed out, nothing received

#ntpq -p

 

# 其中:




# remote - 本机和上层ntp的ip或主机名，“+”有连线可做候选，“*”正在使用的




# refid - 更上一层的ntp地址




# st - stratum的 级别




# when   - 多少秒前曾经同步过时间

# poll   - 下次更新在多少秒后

# reach  - 已经向上层ntp服务器要求更新的次数

# delay  - 网络延迟

# offset - 时间补偿

# jitter - 系统时间与bios时间差