搭建NTP时间服务器~使用NTP同步时间~构建主机间时间自动同步关系

NTP是一个时间服务器，同时它也是一个时间客户端。

我们可以使用它构建主机与主机之间的时间自动同步环境，保证所有服务器时间一致性。

常用的公共NTP时间服务器有：

cn.ntp.org.cn 中国

ntp.aliyun.com 阿里巴巴

time.windows.com 微软

time.apple.com 苹果

time.asia.apple.com 苹果

time.euro.apple.com 苹果

time.google.com 谷歌

ntp.tuna.tsinghua.edu.cn 清华大学

time.ustc.edu.cn 中国科学技术大学

注意事项：NTP服务并不是任何情况下都会进行时间同步的，当时间服务器与本地时间大于1000s时，NTP服务会认为是人为调整了时间或硬件故障，NTP服务会退出，并需要手动使用命令"ntpdate [时间服务器]"进行时间同步。

运行环境

系统版本：CentOS Linux release 7.3.1611 (Core)

软件版本：Docker 17.12.1-ce

硬件要求：无

搭建NTP时间服务器-使用NTP同步时间-构建主机间时间自动同步关系

1、安装YUM-EPEL存储库

YUM-EPEL存储库由EPEL官网提供。

[root@localhost ~]# yum -y install epel-release.noarch

2、安装NTP

[root@localhost ~]# yum -y install ntp ntpdate

3、手动同步主机时间

当主机时间交给NTP服务托管以后，则无法使用"ntpdate"手动调整主机时间了。

[root@localhost ~]# ntpdate cn.ntp.org.cn
17 May 08:01:46 ntpdate[28923]: step time server cn.ntp.org.cn offset -44073.198677 sec

4、配置NTP

[root@localhost ~]# vim /etc/ntp.conf
driftfile  /var/lib/ntp/drift
pidfile    /var/run/ntpd.pid
logfile    /var/log/ntp.log

### Access Control Support（访问控制）
# 访问控制
# 允许外部客户端从本机同步时间，但不允许外部客户端修改本机时间
restrict    default kod nomodify notrap nopeer noquery
restrict -6 default kod nomodify notrap nopeer noquery
restrict 127.0.0.1
restrict 172.16.0.0 mask 255.240.0.0 nomodify notrap nopeer noquery
restrict 100.64.0.0 mask 255.192.0.0 nomodify notrap nopeer noquery
restrict 10.0.0.0 mask 255.0.0.0 nomodify notrap nopeer noquery
restrict 192.168.0.0 mask 255.255.0.0
# restrict指令：限制指定IP范围对当前时间服务器的相关权限
# 语法：restrict [-6] [客户端范围] [参数]
# -6: 设置IP协议为IPV6
# 客户端范围：
#    default            表示所有地址
#    <ip> mask <掩码>   表示指定掩码范围的IP地址
# 参数：
#   无参数     没有添加任何参数，表示允许所有的访问操作
#   nomodify  不允许客户端修改服务端时间参数，但是客户端允许通过服务端进行网络校时
#   ignore    禁止客户端连接
#   notrust   客户端除非通过认证，否则该客户端来源将被视为不信任子网
#   notrap    禁止陷阱服务远程连接，陷阱服务用于远程事件日志记录程序
#   nopeer    禁止对等体（相同的身份），禁止指定地址范围内的主机变成时间服务器欺骗客户端校准时间
#   noquery   禁止查询时间服务器，远端客户端不能使用ntpq等命令查询当前NTP服务器
#   kod       访问违规时发送kod消息

# 从外部服务器主动同步时间
# 如果外部服务器连接失败时则以本机时间为准
server 127.127.1.0
Fudge 127.127.1.0 stratum 10
# Fudge指令：设置指定来源时间服务器的阶层，stratum 10表示第10层，可以理解为优先级，设置范围0~15，
# 通常将本机127.127.1.0设置为10，以表示较后的阶层，当其他来源时间服务器不可用时，则以本地时间为准。
# 如果该指令报错，请将Fudge设置为fudge即可!

server cn.ntp.org.cn prefer iburst minpoll 4 maxpoll 10
server ntp.aliyun.com iburst minpoll 4 maxpoll 10
server ntp.tuna.tsinghua.edu.cn iburst minpoll 4 maxpoll 10
server time.ustc.edu.cn iburst minpoll 4 maxpoll 10
# server指令：指定时间来源服务器，则当前主机从指定的时间服务器校准时间。
# 多个server，以最先配置的最优先。
# NTP采用一种复杂的算法来自动控制同步间隔，以减少网络开销，默认情况下NTP同步时间的最小间隔为64秒，最
# 大为1024秒。可以使用"minpoll、maxpoll"参数控制同步时间的最大和最小间隔时间。
# 语法：server [服务器地址] [参数]
# 参数：
#   prefer       设置最优先，添加该参数表示服务主要从该Server中同步时间，该参数有时候影响不大
#   iburst       当时间来源服务器不可用时，发送探测消息
#   burst        当时间来源服务器可用时，发送探测消息
#   minpoll 4    设置从时间来源服务器同步时间的最小间隔时间单位为秒，值=2的多少次方。
#                这里值=4则表2的4次方=16秒的意思
#   maxpoll 10   设置从时间来源服务器同步时间的最大间隔时间单位为秒，值=2的多少次方。
#                这里值=10则表示2的10次方=1024秒的意思

5、启动NTP服务

[root@localhost ~]# systemctl restart ntpd
[root@localhost ~]# systemctl status ntpd
● ntpd.service - Network Time Service
   Loaded: loaded (/usr/lib/systemd/system/ntpd.service; disabled; vendor preset: disabled)
   Active: active (running) since Thu 2019-05-16 23:05:59 EDT; 6s ago

6、查看NTP服务同步状态

同步有延迟，需要稍等几分钟在查看。

[root@localhost ~]# ntpstat
synchronised to NTP server (100.100.61.88) at stratum 3
   time correct to within 25 ms
   polling server every 64 s

7、查看当前NTP服务器与上层服务器的状态

[root@localhost ~]# ntpq -4p 127.0.0.1
     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
*172.28.235.7    100.100.61.88    2 u   58  128  377    0.304   -0.191   0.116
# 字段说明：
#   remote   远端主机地址，*表示最优先，+表示优先，-表示较为优先，没有标识则表示普通
#   refid    上层主机的地址
#   st       阶层，可以理解为优先级
#   when     多少秒前同步过时间
#   poll     下次更新在多少秒之后
#   reach    向上层同步时间的次数
#   delay    网络延迟
#   offset   时间补偿
#   jitter   系统时间与BIOS时间差