ntp服務的細節全解析
- 2019 年 10 月 29 日
- 筆記
在linux里設置NTP服務並不難，但是NTP本身確是一個很複雜的協議. 你都了解細節么？
1. 時間和時區
date命令可顯示時間與市區
[root@T_PV1_DB ~]# date
Tue Feb 7 16:32:16 CST 2017
[root@T_PV1_DB ~]# cat /etc/sysconfig/clock
ZONE="Asia/Shanghai"
CST=true
在地球環繞太陽旋轉的24個小時中,世界各地日出日落的時間是不一樣的.所以我們才有劃分時區(timezone) 的必要,也就是把全球劃分成24個不同的時區. 所以我們可以把時間的定義理解為一個時間的值加上所在地的時區(注意這個所在地可以精確到城市)
格林威治時間(GMT), 它也就是0時區時間. 但是我們在電腦中經常看到的是UTC. 它是Coordinated Universal Time的簡寫. 雖然可以認為UTC和GMT的值相等(誤差相當之小),但是UTC已經被認定為是國際標準,所以我們都應該遵守標準只使用UTC
那麼假如現在中國當地的時間是晚上8點的話,我們可以有下面兩種表示方式 20:00 CST 12:00 UTC
這裡的CST是Chinese Standard Time,也就是我們通常所說的北京時間了. 因為中國處在UTC+8時區
如果時區設置錯了，你看到的日誌時間也不正確了。
補充：
CST同時可以代表如下 4 個不同的時區： Central Standard Time (USA) UT-6:00 Central Standard Time (Australia) UT+9:30 China Standard Time UT+8:00 Cuba Standard Time UT-4:00
可見，CST可以同時表示美國，澳大利亞，中國，古巴四個國家的標準時間。
2、ntp的配置
- #cat /etc/ntp.conf
- restrict default kod nomodify notrap nopeer noquery
- restrict -6 default kod nomodify notrap nopeer noquery
- restrict 11.107.13.100 //允許該NTP伺服器進入
- restrict 11.80.81.1 //沒有任何何參數的話，這表示『該IP或網段不受任何限制』
- restrict 202.112.1.199
- restrict 127.0.0.1
- restrict -6 ::1
- restrict 192.168.0.0 mask 255.255.0.0 nomodify //該網段可以進行校時
- restrict 0.0.0.0 mask 0.0.0.0 notrust //拒絕沒有認證的用戶端
- server time-nw.nist.gov prefer //prefer 該伺服器優先
- server 0.rhel.pool.ntp.org iburst //設定時間伺服器
- server 1.rhel.pool.ntp.org iburst
- server 2.rhel.pool.ntp.org iburst
- fudge 127.127.1.0 stratum 6
- driftfile /var/lib/ntp/drift
- keys /etc/ntp/keys
- broadcastdelay 0.008
上邊只是簡單設置，沒有考慮安全方面如認證等等。
許可權管理使用 restrict 公式如下： restrict IP mask [參數] / restrict 192.168.0.0 mask 255.255.0.0 nomodify
其中參數主要有底下這些： * ignore：拒絕所有類型的NTP的連線; * nomodfiy：用戶端不能使用NTPC與ntpq這兩支程式來修改伺服器的時間參數，但使用者端仍可透過這部主機來進行網路校時的; * noquery：用戶端不能夠使用ntpq，NTPC等指令來查詢發表伺服器，等於不提供的NTP的網路校時冪; * notrap：不提供陷阱這個遠端事件郵箱（遠程事件日誌）的功能。 * notrust：拒絕沒有認證的用戶端。
配置文件中的driftfile是什麼? 我們每一個system clock的頻率都有小小的誤差,這個就是為什麼機器運行一段時間後會不精確. NTP會自動來監測我們時鐘的誤差值並予以調整.但問題是這是一個冗長的過程,所以它會把記錄下來的誤差先寫入driftfile.這樣即使你重新開機以後之前的計算結果也就不會丟失了。
最後，別忘了啟動NTP伺服器
/etc/init.d/ntp start
[root@localhost ~]# chkconfig ntpd on #在運行級別2、3、4、5上設置為自動運行
[root@localhost ~]# chkconfig –list ntpd
ntpd 0:off 1:off 2:on 3:on 4:on 5:on 6:off
查看ntp伺服器有無和上層ntp連通
[root@localhost ~]# ntpstat
synchronised to NTP server (192.168.7.49) at stratum 6
time correct to within 440 ms
polling server every 128 s
[root@localhost ~]#
查看ntp伺服器與上層ntp的狀態
[root@localhost ~]# watch ntpq -p
remote refid st t when poll reach delay offset jitter
==============================================================================
192.168.7.49 192.168.7.50 5 u 13 64 3 5.853 1137178 2.696
3、ntpd的配置
配置/etc/sysconfig/ntpd文件
ntp服務，默認只會同步系統時間。如果想要讓ntp同時同步硬體時間，可以設置/etc/sysconfig/ntpd文件，在/etc/sysconfig/ntpd文件中，添加 SYNC_HWCLOCK=yes 這樣，就可以讓硬體時間與系統時間一起同步。
#允許BIOS與系統時間同步，也可以通過hwclock -w 命令
SYNC_HWCLOCK=yes
# Drop root to id 'ntp:ntp' by default.
OPTIONS="-x -u ntp:ntp -p /var/run/ntpd.pid -g"
有時會在messages日誌里看到NTP進程正在做DELETING動作，不過NTP進程並不會真正刪除虛擬網路介面，但這個動作會造成網路短暫不通。紅帽官方有個對應的解決辦法是：
就是在這個文件里增加-L參數。
還有-x和-g參數：
ntpd服務的方式，又有兩種策略，一種是平滑、緩慢的漸進式調整（adjusts the clock in small steps所謂的微調）；一種是步進式調整（跳躍式調整）。兩種策略的區別就在於，微調方式在啟動NTP服務時加了個「-x」的參數，而默認的是不加「-x」參數。
假如使用了-x選項，那麼ntpd只做微調，不跳躍調整時間，但是要注意，-x參數的負作用：當時鐘差大的時候，同步時間將花費很長的時間。-x也有一個閾值，就是600s，當系統時鐘與標準時間差距大於600s時，ntpd會使用較大「步進值」的方式來調整時間，將時鐘「步進」調整到正確時間。
假如不使用-x選項，那麼ntpd在時鐘差距小於128ms時，使用微調方式調整時間，當時差大於128ms時，使用「跳躍」式調整。
這兩種方式都會在本地時鐘與遠端的NTP伺服器時鐘相差大於1000s時，ntpd會停止工作。在啟動NTP時加了參數「-g」就可以忽略1000S的問題。
4、時間同步
利用crontab可以讓LINUX NTP定時更新時間 註：讓linux運行ntpdate更新時間時，linux不能開啟NTP服務，否則會提示埠被佔用：如下 [root@ESXI ~]# ntpdate 1.rhel.pool.ntp.org 20 May 09:34:14 ntpdate[6747]: the NTP socket is in use, exiting
如果想定時進行時間校準，可以使用crond服務來定時執行。 編輯 /etc/crontab 文件 加入下面一行：
30 8 * * * root /usr/sbin/ntpdate 192.168.0.1; /sbin/hwclock -w #192.168.0.1是NTP伺服器的IP地址 然後重啟crond服務 service crond restart 這樣，每天 8:30 Linux 系統就會自動的進行網路時間校準。
如果是WINDOWS ，則需要打開windows time服務和RPC的二個服務 如果在打開windows time 服務，時報 錯誤1058，進行下面操作 1.運行 cmd 進入命令行，然後鍵入 w32tm /register 進行註冊 正確的響應為：W32Time 成功註冊。
2.如果上一步正確，用 net start "windows time" 或 net start w32time 啟動服務。
5、linux的硬體時間
Linux硬體時間的設置
硬體時間的設置，可以用hwclock或者clock命令。其中，clock和hwclock用法相近，只用一個就 行，只不過clock命令除了支援x86硬體體系外，還支援Alpha硬體體系。
//查看硬體時間 可以是用 hwclock ，hwclock –show 或者 hwclock -r
[root@localhost ~]# hwclock –show 2008年12月12日 星期五 06時52分07秒 -0.376932 seconds //設置硬體時間
[root@localhost ~]# hwclock –set –date="1/25/09 00:00" <== 月/日/年時:分:秒 [root@localhost ~]# hwclock 2009年01月25日 星期日 00時00分06秒 -0.870868 seconds
幾個參數和命令：
ntpq -p顯示結果中的offset
本地時間+offset=遠程時間, 因此如果offset為負數, 則本地時鐘比遠程快. offset值0-500，接近0是正常的。 運行ntpq -c asso, 如果顯示sys.peer則已經處於同步狀態了.
使用以下命令檢查ntp的版本： # ntpq -c version
錯誤問題處理
用於收集安裝，配置和應用中出現的問題
錯誤1：ntpdate -u ip -> no server suitable for synchronization found
判斷：在ntp客戶端用ntpdate –d serverIP查看，發現有「Server dropped: strata too high」的錯誤，並且顯示「stratum 16」。而正常情況下stratum這個值得範圍是「0~15」。
原因：NTP server還沒有和其自身或者它的server同步上。在ntp server上重新啟動ntp服務後，ntp server自身或者與其server的同步的需要一個時間段，這個過程可能是5分鐘，在這個時間之內在客戶端運行ntpdate命令時會產生no server suitable for synchronization found的錯誤。
處理：等待幾分鐘後，重試一般解決。
其它造成無法成功更新的原因： 1、客戶端的日期必須要設置正確，不能超出正常時間24小時，不然會因為安全原因被拒絕更新。其次客戶端的時區必須要設置好，以確保不會更新成其它時區的時間。 2、fudge 127.127.1.0 stratum 10 如果是LINUX做為NTP伺服器，stratum(層級)的值不能太大，如果要向上級NTP更新可以設成2 3、LINUX的NTP伺服器必須記得將從上級NTP更新的時間從系統時間寫到硬體里去 hwclock –systohc NTP一般只會同步system clock. 但是如果我們也要同步RTC(hwclock)的話那麼只需要把下面的選項打開就可以了 程式碼: # vi /etc/sysconfig/ntpd SYNC_HWCLOCK=yes 4、Linux如果開啟了NTP服務，則不能手動運行ntpdate更新時間（會報埠被佔用），它只能根據/etc/ntp.conf 里server 欄位後的伺服器地址按一定時間間隔自動向上級NTP伺服器更新時間。可以運行命令 ntpstat 查看每次更新間隔如： [root@ESXI ~]# ntpstat synchronised to NTP server (210.72.145.44) at stratum 2 #本NTP伺服器層次為2，已向210.72.145.44 NTP同步過 time correct to within 93 ms #時間校正到相差93ms之內 polling server every 1024 s #每1024秒會向上級NTP輪詢更新一次時間
補充：
ntpd、ntpdate的區別
下面是網上關於ntpd與ntpdate區別的相關資料。如下所示所示：
使用之前得弄清楚一個問題，ntpd與ntpdate在更新時間時有什麼區別。ntpd不僅僅是時間同步伺服器，它還可以做客戶端與標準時間伺服器進行同步時間，而且是平滑同步，並非ntpdate立即同步，在生產環境中慎用ntpdate，也正如此兩者不可同時運行。
時鐘的躍變，對於某些程式會導致很嚴重的問題。許多應用程式依賴連續的時鐘——畢竟，這是一項常見的假定，即，取得的時間是線性的，一些操作，例如資料庫事務，通常會地依賴這樣的事實：時間不會往回跳躍。不幸的是，ntpdate調整時間的方式就是我們所說的」躍變「：在獲得一個時間之後，ntpdate使用settimeofday(2)設置系統時間，這有幾個非常明顯的問題：
第一，這樣做不安全。ntpdate的設置依賴於ntp伺服器的安全性，***者可以利用一些軟體設計上的缺陷，拿下ntp伺服器並令與其同步的伺服器執行某些消耗性的任務。由於ntpdate採用的方式是跳變，跟隨它的伺服器無法知道是否發生了異常（時間不一樣的時候，唯一的辦法是以伺服器為準）。
第二，這樣做不精確。一旦ntp伺服器宕機，跟隨它的伺服器也就會無法同步時間。與此不同，ntpd不僅能夠校準電腦的時間，而且能夠校準電腦的時鐘。
第三，這樣做不夠優雅。由於是跳變，而不是使時間變快或變慢，依賴時序的程式會出錯（例如，如果ntpdate發現你的時間快了，則可能會經歷兩個相同的時刻，對某些應用而言，這是致命的）。因而，唯一一個可以令時間發生跳變的點，是電腦剛剛啟動，但還沒有啟動很多服務的那個時候。其餘的時候，理想的做法是使用ntpd來校準時鐘，而不是調整電腦時鐘上的時間。
NTPD 在和時間伺服器的同步過程中，會把 BIOS 計時器的振蕩頻率偏差——或者說 Local Clock 的自然漂移(drift)——記錄下來。這樣即使網路有問題，本機仍然能維持一個相當精確的走時。
ntpq –p 參數詳解
ntpq -p
remote refid st t when poll reach delay offset jitter
==================================================================
*10.247.160.31 10.240.241.5 4 u 53 64 377 0.240 0.374 0.240
remote：響應這個請求的NTP伺服器的名稱。
refid：NTP伺服器使用的上一級ntp伺服器。
st ：remote遠程伺服器的級別.由於NTP是層型結構,有頂端的伺服器,多層的Relay Server再到客戶端.所以伺服器從高到低級別可以設定為1-16.為了減緩負荷和網路堵塞,原則上應該避免直接連接到級別為1的伺服器的.
when: 上一次成功請求之後到現在的秒數。
poll : 本地機和遠程伺服器多少時間進行一次同步(單位為秒).在一開始運行NTP的時候這個poll值會比較小,那樣和伺服器同步的頻率也就增加了,可以儘快調整到正確的時間範圍，之後poll值會逐漸增大,同步的頻率也就會相應減小
reach:這是一個八進位值,用來測試能否和伺服器連接.每成功連接一次它的值就會增加
delay:從本地機發送同步要求到ntp伺服器的round trip time
offset：主機通過NTP時鐘同步與所同步時間源的時間偏移量，單位為毫秒（ms）。offset越接近於0,主機和ntp伺服器的時間越接近
jitter:這是一個用來做統計的值.它統計了在特定個連續的連接數里offset的分布情況.簡單地說這個數值的絕對值越小，主機的時間就越精確
