IDC-NTP时间服务器实施文档

IDC数据中心NTP时间服务器实施文档TOC\o"1-5"\h\z\o"CurrentDocument"第一章NTPServer配置：3\o"CurrentDocument"1.1查看安装包3\o"CurrentDocument"1.2配置服务器3\o"CurrentDocument"1.3关闭防火墙，清除默认策略4\o"CurrentDocument"1.4关闭SELINUX.4\o"CurrentDocument"1.5设置服务开机启动.4\o"CurrentDocument"1.6查看同步情况.4\o"CurrentDocument"1.7查看服务器进程和监听端口5\o"CurrentDocument"第二章NTPRedhatClient测试：6\o"CurrentDocument"2.1查看NTPServer是否可用6\o"CurrentDocument"2.2进行时间同步.7\o"CurrentDocument"2.3编写脚本使客户端自动同步7\o"CurrentDocument"2.4编写客户端自动化部署脚本7\o"CurrentDocument"第三章NTPwindowsClient测试：8\o"CurrentDocument"第四章排错8\o"CurrentDocument"4.1错误1.Serverdropped:Stratatoohigh8\o"CurrentDocument"4.1错误2.Serverdropped:nodata9\o"CurrentDocument"4.1服务端ntpqp命令详细参数介绍10第一章NTP服务器需求1.1内网服务器时间问题IDC数据中心内网服务器由于BIOS时间和时区跟Internet时间存在很大差距，造成内网的服务器时间各不相同，为了时间内网时间统一同时也为了方便后期日志排错特搭建NTP时间服务器。1.2NTP时间同步实现方式NTP时间服务器连接公网Internet时间服务器进行时间同步，端口UDP123，同步完成后时间写入本地BIOS，每间隔一段时间就会跟公网时间服务器进行同步，保证时间的最精确性。NTP时间服务器连接内网，跟内网所有网段可达，同时只允许客户端访问本地NTP的123端口，其他全部拒绝。充分服务器安全，客户端同步采用计划任务进行同步，每隔一小时进行同步一次。

第二章NTPServer配置:2.1查看安装包Redhat5.5默认系统安装时已经安装NTP包，不用重新安装，如果发现系统没有安装可以到光盘下Server目录进行安装：[root@NTP-Server01~]#rpm-qa|grepntpntp-4.2.2p1-9.el5_4.1chkfontpath-1.10.1-1.1[root@NTP-Server01~]#2.2配置服务器[root@NTP-Server01~]#vim/etc/ntp.confrestrictrestrictdefaultnomodifynotrap#由于内网很多网段所以修改为允许所有同步#下面每条Server都需要配置restrict这里表示允许127回环地址可以同步时间server4server#指定上级同步的时间服务器#此处可以指定多个#同时可以加参数prefer，优先级最高#国家授时中心IP#以本地回环地址作为NTPServer，以防时间服务器对外同步时间发生错误仍然可以给内网服务器进行时间同步，只是以服务器本地时间作为同步标准fudgestratum10restrictNonemask55nomodifynotrap#此处的None代表着上面的server后面指定的公网时间服务器，此处我们写在另外的一个配置文件中/etc/ntp/step-tickers中，这样每次重启服务器时都会按照此文件中缩写的上级时间服务器进行一次时间同步[root@NTP-Server01~]#cd/etc/ntp[root@NTP-Server01ntp]#pwd/etc/ntp[root@NTP-Server01ntp]#lskeysntpserversstep-tickers[root@NTP-Server01ntp]#42.3关闭防火墙，清除默认策略Iptables-FIptables-XServiceiptablessaveServiceiptablesstopChkconfigiptablesoff2.4关闭SELINUX[root@NTP-Server01ntp]#more/etc/sysconfig/selinuxThisfilecontrolsthestateofSELserver4serverSELINUX=cantakeoneofthesethreevalues:enforcing-SELinuxsecuritypolicyisenforced.permissive-SELinuxprintswarningsinsteadofenforcing.disabled-SELinuxisfullydisabled.SELINUX=disabledSELINUXTYPE=typeofpolicyinuse.Possiblevaluesare:targeted-Onlytargetednetworkdaemonsareprotected.strict-FullSELinuxprotection.SELINUXTYPE=targeted确定已经关闭：[root@NTP-Server01ntp]#getenforceDisabled2.5设置服务开机启动ChkconfigntpdonServicentpdrestart[root@NTP-Server01ntp]#servicentpdrestartShuttingdownntpd:[OK]ntpd:Synchronizingwithtimeserver:[OK]Syncinghardwareclocktosystemtime[OK]Startingntpd:[OK]2.6查看同步情况[root@NTP-Server01~]#ntpq-premoterefidsttwhenpollreachdelayoffsetjitter

.22u56641791.9409.17622.4640303u57641781.742-0.1504.386wwwco1test15.mi92u576417222.28941.2514.1204.ACTS.1u55161546.2594.83311.529*LOCAL(0).LOCL.10l5764170.0000.0000.001注意：服务端刚同步完成后客户端是无法同步时间的需要大概3-5分钟即可重新同步。此时同步会报如下错误：[root@client-04cron.hourly]#ntpdate25Nov10:39:45ntpdate[4192]:noserversuitableforsynchronizationfound2.7查看服务器进程和监听端口NTP是udp123端口：[root@NTP-Server01~]#netstat-ntulp|grep123udp00:1:*31292/ntpdudp00:1:*31292/ntpdudp0020:1:*31292/ntpdudp00:1:*31292/ntpdudp00:1:*31292/ntpdudp00fe80::e61f:13ff:feb:123:::*31292/ntpdudp00fe80::e41f:13ff:fea:123:::*31292/ntpdudp00fe80::200:ff:fe00:0:123:::*31292/ntpdudp00::1:123:::*31292/ntpdudp00:::123:::*31292/ntpd[root@NTP-Server01~]#第三章NTPRedhatClient测试：3.1查看NTPServer是否可用[root@NTP-Server01~]#ntpstatsynchronisedtoNTPserver(4)atstratum11timecorrecttowithin954mspollingserverevery64s[root@client-04~]#ntpdate-d25Nov10:11:13ntpdate[3941]:ntpdate4.2.2p1@1.1570-oThuNov2611:34:35UTC2009(1)Lookingforhostandservicentphostfound:transmit()receive()transmit()receive()transmit()receive()transmit()receive()transmit()server,port123stratum2,precision-20,leap00,trust000refid[],delay0.02570,dispersion0.00000transmitted4,infilter4referencetime:d45bf608.1933bf74Sun,Nov2520129:42:32.098originatetimestamp:d45bfcc1.1c15acebSun,Nov25201210:11:13.109transmittimestamp:d45bfcc1.1c3e963dSun,Nov25201210:11:13.110filterdelay:0.025740.025700.025700.025700.000000.000000.000000.00000filteroffset:-0.00067-0.00067-0.00067-0.000670.0000000.0000000.0000000.000000delay0.02570,dispersion0.00000offset-0.00067625Nov10:11:13ntpdate[3941]:adjusttimeserveroffset-0.000676sec[root@client-04~]#3.2进行时间同步Client端不用开启时间服务[root@client-04~]#chkconfigntpdoff;servicentpdstop[root@client-04~]#ntpdate25Nov10:10:57ntpdate[3940]:adjusttimeserveroffset0.001457sec建议第一次时间差很大的情况下多运行几次命令以确保同步的时间差到达最小3.3编写脚本使客户端自动同步[root@client-04cron.hourly]#pwd/etc/cron.hourly[root@client-04cron.hourly]#lsmcelog.cronntp.cron[root@client-04cron.hourly]#morentp.cron#!/bin/bash/usr/sbin/ntpdate;/sbin/hwclock-w[root@client-04cron.hourly]#3.4编写客户端自动化部署脚本#!/bin/bashchkconfigntpdonservicentpdstopntpdateecho"/usr/sbin/ntpdate">/etc/cron.hourly/ntp.cronecho"/sbin/hwclock-w">>/etc/cron.hourly/ntp.cronchmodu+x/etc/cron.hourly/ntp.cron/sbin/hwclock-w第四章NTPwindowsClient测试:时间和日期I时区InterneI时间第四章NTPwindowsClient测试:时间和日期I时区InterneI时间］与同步时间成功，在2012-11-25在L0:45n下次同步：201Z-12-2在10:41同步只有在您的计篁机与工Mgmt连接时才能进行.有关更多信息，请釜阅带助和支持中心的时间同步。第五章排错5.1错误l.Serverdropped:Stratatoohigh在ntp客户端运彳亍ntpdateserverIP，出现noserversuitableforsynchronizationfound的错误。在ntp客户端用ntpdate-dserverIP查看，发现有“Serverdropped:stratatoohigh的错误，并且显示“stratum16”。而正常情况下stratum这个值得范围是“0~15”。这是因为NTPserver还没有和其自身或者它的server同步上。以下的定义是让NTPServer和其自身保持同步，如果在/ntp.conf中定义的server都不可用时，将使用local时间作为ntp服务提供给ntp客户端。serverfudgestratum8在ntpserver上重新启动ntp服务后，ntpserver自身或者与其server的同步的需要一个时间段，这个过程可能是5分钟，在这个时间之内在客户端运行ntpdate命令时会产生noserversuitableforsynchronizationfound的错误。那么如何知道何时ntpserver完成了和自身同步的过程呢？在ntpserver上使用命令:#watchntpq-p出现画面：EveryThuJul1002:28:3remote2.0s:22008refidntpqsttwhenpollreach-pdelayoffsetjitter=======================2LOCAL(0)8u22641=============2.113179133.0.001LOCAL(0)LOCAL(0)10l216410.0000.0000.001注意LOCAL的这个就是与自身同步的ntpservero注意reach这个值，在启动ntpserver服务后，这个值就从0开始不断增加，当增加到17的时候，从0到17是5次的变更，每一次是poll的值的秒数，是64秒*5=320秒的时间。如果之后从ntp客户端同步ntpserver还失败的话，用ntpdate-d来查询详细错误信息，再做判断。5.2错误2.Serverdropped:nodata从客户端执行netdate-d时有错误信息如下：transmit(2)transmit(2)transmit(2)transmit(2)transmit(2)2:Serverdropped:nodataserver2,port12328Jul17:42:24ntpdate[14148]:noserversuitableforsynchronizationfound出现这个问题的原因可能有2：1。检查ntp的版本，如果你使用的是ntp4.2(包括4.2)之后的版本，在restrict的定义中使用了notrust的话，会导致以上错误。使用以下命令检查ntp的版本：#ntpq-cversion下面是来自ntp官方网站的说明：Thebehaviorofnotrustchangedbetweenversions4.1and4.2.In4.1(andearlier)notrustmeant"Don'ttrustthishost/subnetfortime".In4.2(andlater)notrustmeans"IgnoreallNTPpacketsthatarenotcryptographicallyauthenticated."Thisforcesremotetimeserverstoauthenticatethemselvestoyour(client)ntpd解决：把notrust去掉。2。检查ntpserver的