網(wǎng)絡(luò)時鐘同步也叫“對鐘”，要把分布在各地的時鐘同步起來，最直觀的方法就是搬鐘，可用一個標(biāo)準(zhǔn)鐘作搬鐘，使各地的鐘均與標(biāo)準(zhǔn)鐘對準(zhǔn)。或者使搬鐘首先與系統(tǒng)的標(biāo)準(zhǔn)時鐘對準(zhǔn)，然后使系統(tǒng)中的其他時針與搬鐘比對，實現(xiàn)系統(tǒng)其他時鐘與系統(tǒng)統(tǒng)一標(biāo)準(zhǔn)時鐘同步。下面讓我們看看網(wǎng)絡(luò)時鐘不同步的問題是怎樣解決的。
網(wǎng)絡(luò)環(huán)境
如圖圖所示，在NE16E和NE80E上配置NTP，其中NE16E以NE80E為時鐘服務(wù)器，與之同步，NE80E與遠(yuǎn)端時鐘服務(wù)器同步。
時鐘同步組網(wǎng)圖
配置完成后，發(fā)現(xiàn)NE16E與NE80E及NE80E與遠(yuǎn)端服務(wù)器之間均未能時鐘同步。
故障分析
步驟 1 分別在NE16E、NE80E執(zhí)行命令display ntp status，確認(rèn)NE16E與NE80E，NE80E與遠(yuǎn)端服務(wù)器之間均未能時鐘同步
步驟 2 在NE80E執(zhí)行命令display this，查看NE80E上ACL和NTP設(shè)置。
顯示信息如下：
- #
- acl number 2050
- rule 2 permit source 222.55.0.49 0
- rule 3 permit source 222.55.0.46 0
- rule 10 permit source 222.55.1.206 0
- rule 127 deny
- #
- ntp-service access query 2050
- ntp-service unicast-server 211.98.3.140
- Return
步驟 3 在NE16E執(zhí)行命令display this，查看NE16E上NTP設(shè)置。
顯示信息如下：
- #
- ntp-service unicast-server 222.55.0.9
- Return
步驟 4 在NE80E執(zhí)行命令undo ntp-service access query 2050，去掉ACL限制后能夠正常執(zhí)行時間同步。
步驟 5 NE80E需要接受NE16E的時間請求，同時又要同步到遠(yuǎn)端時鐘服務(wù)器。所以，此種情況應(yīng)選擇支持時間請求和同步到遠(yuǎn)端服務(wù)器的peer訪問權(quán)限方式。
說明：NTP的四種訪問權(quán)限：
1、query：只允許對本地NTP服務(wù)進(jìn)行控制查詢。
2、synchronization：只允許對本地NTP進(jìn)行時間請求。
3、server：可以對本地NTP服務(wù)進(jìn)行時間請求和控制查詢，但本地時鐘不會同步到遠(yuǎn)端服務(wù)器。
4、peer：即可以對本地NTP服務(wù)進(jìn)行時間請求和控制查詢，本地時鐘又可以同步到遠(yuǎn)端服務(wù)器。采用記錄路由的方式ping NE5000E-2，NE5000E-2接到報文后需要上送主控處理。
步驟 6 進(jìn)一步分析，如果NE80E與遠(yuǎn)端時鐘服務(wù)器交互，NE80E的ACL列表配置存在錯誤。在NE80E配置的ACL中沒有加入允許進(jìn)行訪問的遠(yuǎn)端服務(wù)器的IP，而僅允許NE16E的IP通過。這樣自然無法同遠(yuǎn)端服務(wù)器進(jìn)行同步交互。
----結(jié)束
處理步驟
步驟 1 登陸NE80E，執(zhí)行命令system-view，進(jìn)入系統(tǒng)視圖。
步驟 2 執(zhí)行命令ntp-service access peer 2050，指定NE80E對等體建立的ACL。
步驟 3 執(zhí)行命令ntp-service unicast-server 211.98.3.140，指定NE80E的時鐘同步服務(wù)器。
步驟 4 執(zhí)行命令acl number 2050，進(jìn)入ACL編號為2050的視圖。
步驟 5 執(zhí)行命令rule 2 permit source 222.55.0.49 0，ACL添加允許NE16E的源地址接入規(guī)則，從而實現(xiàn)接受NE16E的時鐘查詢。
步驟 6 執(zhí)行命令rule 3 permit source 222.55.0.46 0，ACL添加允許接入的IP地址。
步驟 7 執(zhí)行命令rule 3 permit source 211.98.3.140 0，ACL添加允許遠(yuǎn)端時鐘服務(wù)器地址接入規(guī)則，從而可以實現(xiàn)NE80與遠(yuǎn)端時鐘服務(wù)器交互。
步驟 8 執(zhí)行命令quit，退出ACL編輯視圖。
步驟 9 執(zhí)行命令return退回到用戶視圖，執(zhí)行命令save，保存對配置的修改。
步驟 10 登陸NE80E執(zhí)行命令display ntp-service status，
顯示信息如下：
- clock status: synchronized
- clock stratum: 3
- reference clock ID: 211.98.3.104
確認(rèn)NE80E與遠(yuǎn)端服務(wù)器之間時鐘均能夠正常同步。
步驟 11 登陸NE16E執(zhí)行命令display ntp-service status，
顯示信息如下：
- clock status: synchronized
- clock stratum: 4
- reference clock ID: 222.55.0.9
NE16能與NE80時鐘進(jìn)行正常同步。
故障排除。
----結(jié)束
案例總結(jié)
通過設(shè)置訪問權(quán)限保護本地NTP服務(wù)，是VRP提供的一種比較簡單的安全措施。VRP提供4個等級的訪問限制，當(dāng)1個NTP訪問請求到達(dá)本地時，按照最小訪問限制到最大訪問限制依次匹配，以第1個匹配的為準(zhǔn)，匹配順序如下：peer，server，synchronization，query。
需要根據(jù)實際組網(wǎng)需求設(shè)置正確的訪問權(quán)限。在選用peer權(quán)限時，對主動對等體添加ACL時候，要注意允許被動對等體的訪問。
原文鏈接：http://network.51cto.com/art/201103/249711.htm
