局域网设备时间不准，如何搭建NTP服务器解决？

在现代化的IT基础设施中，时间的精确同步是保障系统稳定、安全运行的关键基石，无论是分布式系统的事务一致性、安全日志的准确审计，还是集群任务的协同调度，都依赖于一个统一、可靠的时间源，在局域网内部署一台专属的NTP（Network Time Protocol）服务器，不仅能减少对公共NTP服务的依赖，降低网络延迟和出口带宽占用，更能提升内网设备时间同步的稳定性与安全性，本文将详细介绍如何在Linux环境下搭建局域网NTP服务器,并阐述对其进行有效监控的方法。

环境准备与软件选择

在开始搭建之前，需要做好基础的准备工作，选择一台作为NTP服务器的物理机或虚拟机，这台机器要求能够稳定运行，并且拥有固定的内网IP地址，对于硬件配置，无需过高,普通的x86服务器甚至树莓派等设备均可胜任。

操作系统方面，推荐使用主流的Linux发行版，如CentOS Stream、Rocky Linux或Ubuntu Server,这些系统拥有成熟的软件包管理机制和强大的社区支持。

在NTP服务软件的选择上，现代Linux发行版普遍推荐使用chrony，相较于传统的ntpd，chrony具备以下显著优势：

• 快速同步：能够更快地校正系统时间,尤其适用于系统时钟偏差较大的情况。
• 适应性强：在网络连接不稳定（如间歇性断网）的环境下表现更佳,非常适合虚拟机和云计算环境。
• 安全性更高：设计上更加注重安全,减少了潜在的攻击面。
• 配置灵活：配置文件语法简洁,易于理解和维护。

本文将以chrony为例进行讲解。

Chrony 安装与基础配置

安装Chrony

在大多数Linux发行版中，chrony通常位于默认的软件源仓库中,安装非常简便。

• 对于基于RPM的系统（如CentOS, Rocky Linux）：

  sudo yum install -y chrony

• 对于基于DEB的系统（如Ubuntu, Debian）：

  sudo apt update
  sudo apt install -y chrony

配置Chrony服务端

chrony的主配置文件位于/etc/chrony.conf，我们需要对其进行修改，以使其既能与外部公共时间源同步,又能为局域网内的其他设备提供时间服务。

使用文本编辑器打开该文件：

sudo vi /etc/chrony.conf

关键配置项说明如下：

• server 或 pool 指令：用于指定上游的公共NTP服务器。pool指令会从一组服务器池中自动选择多个可用服务器,推荐使用。

  # 使用公共NTP服务器池
  pool 0.centos.pool.ntp.org iburst
  pool 1.centos.pool.ntp.org iburst
  pool 2.centos.pool.ntp.org iburst
  pool 3.centos.pool.ntp.org iburst

  iburst选项可以在初始同步时快速发送一系列请求,以加速同步过程。

• allow 指令：这是配置局域网服务的核心,用于允许特定网段的客户端向此服务器请求时间同步。

  

  # 允许192.168.1.0/24网段的所有客户端访问
  allow 192.168.1.0/24

  请根据您的实际局域网网段进行修改。

• local stratum 指令：当服务器与所有上游时间源失去连接时，此指令允许它使用本地时钟作为时间源，继续为内网提供服务，这保证了在极端网络故障下,内网时间依然保持相对统一。

  # 即使失去上游同步，也作为时间源提供服务
  local stratum 10

  stratum值是一个层级，数字越小，时间源的精度越高，公共服务器通常是stratum 1或2，这里设置一个较大的数字（如10）是合理的。

• driftfile 和 logdir：分别用于记录系统时钟的漂移信息和日志目录,通常保持默认即可。

配置完成后,保存并退出文件。

服务启动与防火墙配置

启动并设置开机自启

sudo systemctl start chronyd
sudo systemctl enable chronyd

配置防火墙
NTP服务使用UDP的123端口，需要在服务器的防火墙中放行该端口,以便客户端能够访问。

• 对于使用firewalld的系统（如CentOS）：

  sudo firewall-cmd --permanent --add-service=ntp
  sudo firewall-cmd --reload

• 对于使用ufw的系统（如Ubuntu）：

  sudo ufw allow ntp

至此,NTP服务器的基本搭建已经完成。

NTP服务器监控

搭建只是第一步,持续的监控才能确保其稳定可靠。

使用Chrony内置工具进行监控

chronyc是chrony的命令行控制工具,功能强大。

• 查看时间源状态：

  chronyc sources -v

  此命令会列出当前配置的所有上游时间源及其状态,输出中的符号含义如下表：

• 查看同步统计信息：

  

  chronyc sourcestats -v

  此命令显示更详细的统计信息，包括时间偏移量（Offset）、标准差（RMS Jitter）等,有助于评估时间质量。

• 查看系统时间追踪信息：

  chronyc tracking

  此命令显示系统时间的整体状态，包括与参考源的偏移量（Last offset）、频率误差（Frequency）和当前层级（Stratum）等关键指标。

客户端配置与验证

在局域网内的其他Linux客户端上，同样安装chrony，然后修改其/etc/chrony.conf文件，注释掉或删除原有的公共pool配置,添加一行指向我们刚搭建的局域网NTP服务器：

server 192.168.1.10 iburst

（请将168.1.10替换为您的NTP服务器实际IP地址）

重启客户端的chronyd服务后，使用chronyc sources命令,即可看到它正在从局域网服务器同步时间。

集成到专业监控系统

对于生产环境，可以将NTP服务的监控指标集成到Prometheus、Zabbix等监控系统中，通过Node Exporter等组件采集chronyc tracking的输出结果，可以设置告警规则，例如当时间偏移量超过阈值（如100ms）时触发告警,从而实现自动化运维管理。

相关问答FAQs

问题1：为什么我的客户端无法从局域网NTP服务器同步时间？
解答： 这是一个常见的排错问题,可以按照以下步骤逐一排查：

1. 网络连通性：在客户端上pingNTP服务器的IP地址,确保网络是通的。
2. 服务器防火墙：确认NTP服务器上的防火墙已放行UDP 123端口。
3. 客户端防火墙：检查客户端自身的防火墙是否阻止了出站的UDP 123端口。
4. 服务器配置：检查服务器/etc/chrony.conf文件中的allow指令,是否包含了客户端所在的网段。
5. 服务器自身状态：在服务器上运行chronyc sources，确保服务器本身已经成功与上游时间源同步（至少有一个标记的源），或者local stratum配置生效。
6. 服务状态：确认服务器和客户端的chronyd服务都处于运行状态（systemctl status chronyd）。

问题2：chrony 和传统的 ntpd 有什么区别，我应该如何选择？
解答：chrony和ntpd都是实现NTP协议的软件,但设计理念和适用场景有所不同。

• chrony：是更现代的实现，特别适合网络不稳定的环境（如虚拟机、容器、笔记本电脑），它同步速度快，对时钟频率的漂移能做出快速调整，且安全性设计更优，对于所有新的部署场景，特别是涉及虚拟化和云计算的环境，强烈推荐使用chrony。
• ntpd：是经典的、历史悠久的NTP实现，非常稳定可靠，在长时间运行的、网络状况良好的物理服务器上表现优异,许多老旧系统仍在使用它。

选择建议：如果您是搭建全新的NTP服务器，或者您的环境包含大量虚拟机，请毫不犹豫地选择chrony，如果您在维护一个已经稳定运行ntpd多年的传统物理服务器集群，并且没有遇到特定问题，继续使用ntpd也是可行的，但从长远来看，chrony是未来的趋势。