# 内网环境集群主机的时间同步

# 场景描述

内网主机之间时间不一致，需要作同步；主机多数不能连接外网，只有极少数几台能连接外网

# 系统环境

centos7
root权限

# 实施方案

内网中一台主机A (如172.16.59.25)与外网互通，通过外网 NTP 服务器同步时间
主机A对内网提供 NTP 服务
内网其他机器通过主机A进行对时

# 实施过程

# 主机A设置

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
# 安装NTP软件
# 方式1
yum -y install ntp
# 方式2（严格按照顺序autogen->ntpdate->ntp）
rpm -hiv autogen-libopts-5.18-5.el7.x86_64.rpm
rpm -hiv ntpdate-4.2.6p5-18.el7.centos.x86_64.rpm
rpm -hiv ntp-4.2.6p5-18.el7.centos.x86_64.rpm

# 编辑NTP配置
vim /etc/ntp.conf

ntp.conf 配置如下

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
driftfile /var/lib/ntp/drift
# 默认拒绝客户端所有操作
restrict default kod notrap nomodify nopeer noquery
# 允许本地操作
restrict 127.0.0.1
restrict ::1
# 允许该网段同步时间，但不可修改NTP服务器时间
restrict 172.16.59.0 mask 255.255.255.0 nomodify
# 用于NTPD的上级服务器、本机时钟的同步,以及时钟的层次stratum
server cn.ntp.org.cn prefer
server edu.ntp.org.cn iburst
# 本机时间兜底
server 127.127.1.0
fudge 127.127.1.0 stratum 8

includefile /etc/ntp/crypto/pw
keys /etc/ntp/keys
disable monitor

1
2
# 编辑 ntpd 文件
vim /etc/sysconfig/ntpd

ntpd 文件修改如下

1
2
3
OPTIONS="-u ntp:ntp -p /var/run/ntpd.pid"
# BIOS时间也会跟随改变
SYNC_HWCLOCK=yes

1
2
3
4
5
6
7
8
# 查看状态
systemctl status ntpd.service
ntpstat

# 重启服务
systemctl restart ntpd.service
# 开机启动
systemctl enable ntpd.service

# 其他主机设置

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
# 安装 ntpdate 软件
# 方式1
yum -y install ntp
# 方式2（严格按照顺序autogen->ntpdate->ntp）
rpm -hiv autogen-libopts-5.18-5.el7.x86_64.rpm
rpm -hiv ntpdate-4.2.6p5-18.el7.centos.x86_64.rpm
rpm -hiv ntp-4.2.6p5-18.el7.centos.x86_64.rpm

# 编辑配置文件
vi /etc/ntp.conf

ntp.conf配置如下

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
driftfile /var/lib/ntp/drift

# 默认拒绝客户端所有操作
restrict default kod notrap nomodify nopeer noquery
# 禁止本身的server
# server cn.ntp.org.cn prefer
# server edu.ntp.org.cn iburst
restrict 172.16.59.25
restrict 127.0.0.1
restrict ::1

server 172.16.59.25

# server    127.127.1.0    
# fudge     127.127.1.0 stratum 10
includefile /etc/ntp/crypto/pw
keys /etc/ntp/keys
disable monitor

1
2
# 编辑 ntpd 文件
vim /etc/sysconfig/ntpd

ntpd 文件修改如下

1
2
3
OPTIONS="-u ntp:ntp -p /var/run/ntpd.pid"
# BIOS时间也会跟随改变
SYNC_HWCLOCK=yes

1
2
3
systemctl restart ntpd.service
# 开机启动
systemctl enable ntpd.service

# 过程总结

# 可能失败原因及分析

NTP 服务刚启动后，客户端无法同步时间，需等待几分钟才可以
关闭或者设置防火墙，允许123端口
网络上存在多个 NTP 服务器时，客户端切换同步源后需要重启

如果本机与 NTP 服务器时间误差超过1000s，则同步失败。可以按照下面命令解决。

1
2
3
4
5
6
# 更改时区为中国
timedatectl set-timezone "Asia/Shanghai"
# 与外网或者主机A同步一次时间
ntpdate cn.ntp.org.cn #主机A的时间同步
ntpdate 主机A的IP # 内网其他机器的时间同步
# 注意 ntpdate 的缺点

# stratum 的概念

顶层是1，值为0时表示层数不明，层的值是累加的，比如 NTP 授时方向是 A -> B -> C，假设 A 的层值是3，那么B从A获取到时间层值为4，C从B获取到时间，C的层值被置为5。一般只有整个 NTP 系统最顶层的服务器stratum才设为1。
NTP 同步的方向是从stratum 值较小的节点向较大的节点传播，如果某个 NTP 客户端接收到 stratum 比自己还要大，那么 NTP 客户端认为自己的时间比接受到的时间更为精确，不会进行时间的更新。
对于大部分 NTP 软件系统来说，服务启动后，stratum 值初始是0，一旦 NTP 服务获取到了时间，NTP 层次就设置为上级服务器 stratum +1。对于具备卫星时钟、原子钟的专业 NTP 设备，一般 stratum 值初始是1。

# NTPD运行过程

NTPD 启动后，stratum 值初始是0，此时 NTPD 接收到 NTP 请求，回复 stratum 字段为0的 NTP 包，客户端接收后，发现 stratum 字段无效，拒绝更新时间，造成时间更新失败。
几分钟后，NTPD从上级服务器获取到了更新，设置了正确的 stratum，回复 stratum 字段为 n+1的 NTP 包，客户端接收后，确认 stratum 有效，成功进行时间更新。
在 NTPD 上级服务器不可用的情况下，NTPD 将本机时钟服务模拟为一个上级 NTP 服务器，地址使用环回127.127.1.0。服务启动几分钟后，NTPD 从 127.127.1.0 更新了时钟，设置了有效的 stratum，客户端接收后，成功进行时间更新。

# ntpd与ntpdate修改时间的区别

ntpd 不仅仅是时间同步服务器，他还可以做客户端与标准时间服务器进行同步时间，而且是平滑同步，并非ntpdate立即同步，在生产环境中慎用ntpdate，也正如此两者不可同时运行。

时钟的跃变，对于某些程序会导致很严重的问题。许多应用程序依赖连续的时钟——毕竟，这是一项常见的假定，即，取得的时间是线性的，一些操作，例如数据库事务，通常会地依赖这样的事实：时间不会往回跳跃。不幸的是，ntpdate调整时间的方式就是我们所说的”跃变“：在获得一个时间之后，ntpdate使用settimeofday设置系统时间，这有几个非常明显的问题：

第一，这样做不安全。ntpdate的设置依赖于ntp服务器的安全性，攻击者可以利用一些软件设计上的缺陷，拿下ntp服务器并令与其同步的服务器执行某些消耗性的任务。由于ntpdate采用的方式是跳变，跟随它的服务器无法知道是否发生了异常（时间不一样的时候，唯一的办法是以服务器为准）。

第二，这样做不精确。一旦ntp服务器宕机，跟随它的服务器也就会无法同步时间。与此不同，ntpd不仅能够校准计算机的时间，而且能够校准计算机的时钟。

第三，这样做不够优雅。由于是跳变，而不是使时间变快或变慢，依赖时序的程序会出错（例如，如果ntpdate发现你的时间快了，则可能会经历两个相同的时刻，对某些应用而言，这是致命的）。

因而，唯一一个可以令时间发生跳变的点，是计算机刚刚启动，但还没有启动很多服务的那个时候。其余的时候，理想的做法是使用ntpd来校准时钟，而不是调整计算机时钟上的时间。

NTPD 在和时间服务器的同步过程中，会把 BIOS 计时器的振荡频率偏差——或者说 Local Clock 的自然漂移(drift)——记录下来。这样即使网络有问题，本机仍然能维持一个相当精确的走时

# RTC硬件时间相关命令

1
2
3
4
5
clock –r         显示硬件时钟与日期

clock –s         将系统时钟调整为与目前的硬件时钟一致。

clock –w        将硬件时钟调整为与目前的系统时钟一致

# 查看和修改时间

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
# 查看时间和日期
date
date -R
timedatectl

# 查看本月月历
cal

# 修改时区
tzselect

# 更改时区为中国
timedatectl set-timezone "Asia/Shanghai"

# 设置时间和日期
# 例如：将系统日期设定成2019年11月3日的命令
date -s 11/03/2019

#将系统时间设定成下午5点55分55秒的命令
date -s 17:55:55

# 将当前时间和日期写入BIOS，避免重启后失效**
hwclock -w
# 或者 clock -w