004.NTP多层级架设
一 环境需求
1.1 需求
User-client：局域网所有节点主机；
IN-NTP Server：隐藏于局域网内部的NTP服务器；
Border-NTP：边界NTP服务器，用于同步外部时钟，同时对内部IN-NTP服务器提供校对；
亚洲授时中心：公网NTP授时中心。
内部局域网所有节点client需要和IN-NTP Server同步，IN-NTP Server对外隐藏，同时通过 Border-NTP进行同步， Border-NTP边界NTP服务器实时同步公网授时中心。
1.2 架构
主机名 | IP | 备注 |
|---|---|---|
border_ntp | 内网IP：172.24.8.71 | 边界NTP服务器 |
in_ntp01 | 172.24.8.72 | 内部NTP服务器01 |
in_ntp02 | 172.24.8.73 | 内部NTP服务器02 |
client | 172.24.8.74 | 模拟局域网内部客户端节点 |
注意：
- Border-NTP部署在边界上，作为和互联网（亚洲授时中心）同步，同时为局域网内部IN-NTP提供同步服务。
- User-client，包括所有局域网内客户端等，从两台（一主一备）IN-NTP进行同步。
二 Border-NTP配置
2.1 服务包安装
1 [root@border_ntp ~]# rpm -qa | grep ntp
2 [root@border_ntp ~]# yum -y install ntp #安装ntp服务2.2 ntp配置
1 [root@border_ntp ~]# vi /etc/ntp.conf
2 driftfile /var/lib/ntp/drift
3 #定义与上级时间服务器联系时所花费的时间，记录在driftfile参数后面的文件内。
4 driftfile /var/lib/ntp/drift
5 pidfile /var/run/ntpd.pid #进程pid文件
6 logfile /var/log/ntp.log #开启日志记录
7 #定义与上级时间服务器联系时所花费的时间，记录在driftfile参数后面的文件内。
8
9 restrict default nomodify notrap nopeer noquery #默认拒绝所有NTP连接
10 restrict 127.0.0.1
11 restrict ::1 #开启本地授权
12
13 restrict 172.24.8.72 mask 255.255.255.255 nomodify notrap #添加IN-NTP Server允许校时
14 restrict 172.24.8.73 mask 255.255.255.255 nomodify notrap #添加IN-NTP Server允许校时
15
16 #server 0.cn.pool.ntp.org
17 #server 1.asia.pool.ntp.org
18 #restrict 0.cn.pool.ntp.org nomodify notrap noquery
19 #restrict 1.asia.pool.ntp.org nomodify notrap noquery
20 #添加Border-NTP的上一级时间中心，即亚洲授时中心服务器，此处建议注释，转而采用国内阿里云时钟，相对网络更稳定，如下。
21 server ntp1.aliyun.com iburst minpoll 4 maxpoll 10
22 restrict ntp1.aliyun.com nomodify notrap nopeer noquery
23 server ntp2.aliyun.com iburst minpoll 4 maxpoll 10
24 restrict ntp2.aliyun.com nomodify notrap nopeer noquery
25 #允许阿里授时中心修改本地时间。
26 server 127.127.1.0
27 fudge 127.127.1.0 stratum 4
28 #当授时不可用，采用本地时间，stratum级别为4。2.3 其他配置
1 [root@border_ntp ~]# chown ntp:ntp /var/log/ntp.log
2 [root@border_ntp ~]# chcon -t ntpd_log_t /var/log/ntp.log
3 [root@border_ntp ~]# firewall-cmd --permanent --add-service=ntp
4 [root@border_ntp ~]# firewall-cmd --reload
5 [root@border_ntp ~]# setenforce 0提示：若开启日志功能，需要ntp进程具备写入日志权限。同时防火墙开放ntp服务，SELinux写入上下文授权。
建议：若没有特殊必要，建议关闭SELinux和防火墙。
2.4 开启服务
1 [root@border_ntp ~]# systemctl start ntpd.service
2 [root@border_ntp ~]# systemctl enable ntpd.service提示：开启ntp server后，需要等待一定时间（通常为5分钟以内），才能实现和亚洲授时中心的同步。
2.5 验证
1 [root@border_ntp ~]# ntpq -np
提示：ntpq相关含义见附录一。
三 IN-NTP Server配置
3.1 服务包安装
1 [root@in_ntp01 ~]# rpm -qa | grep ntp #查看是否安装ntp
2 [root@in_ntp01 ~]# yum -y install ntp #安装ntp服务3.2 ntp配置
1 [root@in_ntp01 ~]# vi /etc/ntp.conf
2 driftfile /var/lib/ntp/drift
3 pidfile /var/run/ntpd.pid #进程pid文件
4 logfile /var/log/ntp.log #开启日志记录
5 #定义与上级时间服务器联系时所花费的时间，记录在driftfile参数后面的文件内。
6 tinker stepout 0
7 restrict default ignore #默认拒绝所有连接
8 restrict -6 default ignore #默认拒绝所有ipv6连接
9 restrict 127.0.0.1
10 restrict -6 ::1 #开启本地授权
11
12 restrict 172.24.8.0 mask 255.255.255.0 nomodify notrap #允许局域网内网段校时
13
14 restirct 172.24.8.71 nomodify notrap nopeer noquery
15 #允许根据上一级时间修改本地时间
16 server 172.24.8.71 iburst minpoll 3 maxpoll 3 prefer
17 #添加上一层Border-NTP服务地址
18
19 #peer 172.24.8.72 iburst minpoll 4 maxpoll 6
20 #peer 172.24.8.73 iburst minpoll 4 maxpoll 6
21 #服务器接收其他服务器的地址，同时也会为其他设备提供NTP服务器，即互相同步，用于在孤岛环境中，若同时具备上层时钟，可注释掉。
22
23 server 127.127.1.0
24 fudge 127.127.1.0 stratum 8 #上一级不可用，使用本地时间，stratum为83.3 其他配置
参考2.3.
3.4 开启服务
1 [root@in_ntp01 ~]# systemctl start ntpd
2 [root@in_ntp01 ~]# systemctl enable ntpd3.5 验证
1 [root@in_ntp01 ~]# ntpq -np
注意：两台IN-NTP Server都需要配置。
四 user-client配置
4.1 服务包安装
1 [root@client ~]# rpm -qa | grep ntp #查看是否安装ntp
2 [root@client ~]# yum -y install ntp #安装ntp服务4.2 ntp配置
1 [root@client ~]# vi /etc/ntp.conf
2 driftfile /var/lib/ntp/drift
3 pidfile /var/run/ntpd.pid #进程pid文件
4 logfile /var/log/ntp.log #开启日志记录
5 #定义与上级时间服务器联系时所花费的时间，记录在driftfile参数后面的文件内。
6
7 tinker panic 600
8 #当client和server时差在600秒以内，使用渐变调整client时间，超过600秒，ntpd进程自动终止，需要手动进行调整。
9 restrict default ignore #默认拒绝所有连接
10 restrict -6 default ignore #默认拒绝所有ipv6连接
11 restrict 127.0.0.1 #开启本地授权
12
13 restrict 172.24.8.72 nomodify notrap noquery #允许根据上一级时间修改本地时间
14 restrict 172.24.8.73 nomodify notrap noquery #允许根据上一级时间修改本地时间
15
16 server 172.24.8.72 iburst minpoll 4 maxpoll 6 prefer
17 server 172.24.8.73 iburst minpoll 4 maxpoll 64.3 其他配置
参考2.3.
4.4 开启服务
1 [root@client ~]# systemctl start ntpd
2 [root@client ~]# systemctl enable ntpd4.5 验证
1 [root@client ~]# ntpq -np
1 [root@client ~]# ntpstat
附录一
ntpq参数解释：
remote：本地服务器所连接的远程NTP服务器。
refid：NTP服务器使用的上一级ntp服务器，即给远程ntp服务器提供时间同步是服务器。。
st ：remote远程服务器的级别，由于NTP是层型结构，有顶端的服务器，多层的Relay Server再到客户端。所以服务器从高到低级别可以设定为1-16，为了减
缓负荷和网络堵塞，原则上应该避免直接连接到级别为1的服务器的。
when: 上一次成功请求之后到现在的秒数。
poll : 本地机和远程服务器多少时间进行一次同步(单位为秒)，在一开始运行NTP的时候这个poll值会比较小，那样和服务器同步的频率也就增加了，可以尽快调
整到正确的时间范围，之后poll值会逐渐增大，同步的频率也就会相应减小。
reach：这是一个八进制值，用来测试能否和服务器连接，每成功连接一次它的值就会增加
delay：从本地机发送同步要求到ntp服务器的round trip time
offset：主机通过NTP时钟同步与所同步时间源的时间偏移量，单位为毫秒（ms）。offset越接近于0，主机和ntp服务器的时间越接近。
jitter：这是一个用来做统计的值，它统计了在特定个连续的连接数里offset的分布情况，简单地说这个数值的绝对值越小，主机的时间就越精确。
『 * 』：代表目前正在作用当中的NTP，即主NTP Server；
『 + 』：代表辅助的NTP Server和带有*号的服务器一起为我们提供同步服务, 当主NTP Server服务器不可用时备服务器接管，即作为下一个提供时间更新的候
选者。
『 - 』：远程服务器被认为是不合格的NTP Server。
『 x 』：远程服务器不可用。
附录二
ntp服务，默认只会同步系统时间。若需要ntp同时同步硬件时间，可以在/etc/sysconfig/ntpd文件中，添加 SYNC_HWCLOCK=yes ，则可以让硬件时间与系统时间一起同步。
SYNC_HWCLOCK=yes
注意：允许BIOS与系统时间同步，也可以通过hwclock -w 命令。