NTPサーバの設定

RTX1100の設定不足でNTP同期できなかった問題が解決したところで、NTPサーバの設定をまとめておきます。
OS:CentOS 5.5 最小インストール
NTPサーバ:ビジネスぷらら
プライマリ:ntp2.plala.or.jp
セカンダリ:ntp1.plala.or.jp
NTPをインストールします。
# yum install ntp
今日現在インストールされるバージョンは「4.2.2p1-9.el5.centos.2.1」となります。
設定ファイルを編集します。
# vi /etc/ntp.conf
既存のIPv4、IPv6用の問い合わせをコメントアウトし、すべての外部からの問い合わせの拒否を追加します。
# Permit time synchronization with our time source, but do not
# permit the source to query or modify the service on this system.
#restrict default kod nomodify notrap nopeer noquery
#restrict -6 default kod nomodify notrap nopeer noquery
restrict default ignore

IPv6用のループバックアクセスをコメントアウトします。
# Permit all access over the loopback interface. This could
# be tightened as well, but to do so would effect some of
# the administrative functions.
restrict 127.0.0.1
#restrict -6 ::1

今回使用するビジネスぷららのNTPサーバを追加します。
# Hosts on local network are less restricted.
#restrict 192.168.1.0 mask 255.255.255.0 nomodify notrap
restrict 219.164.211.137 mask 255.255.255.255 nomodify notrap noquery
restrict 219.164.211.129 mask 255.255.255.255 nomodify notrap noquery

既存のNTPサーバをコメントアウトし、ビジネスぷららのNTPサーバを追加します。
# Use public servers from the pool.ntp.org project.
# Please consider joining the pool (http://www.pool.ntp.org/join.html).
#server 0.centos.pool.ntp.org
#server 1.centos.pool.ntp.org
#server 2.centos.pool.ntp.org
server ntp2.plala.or.jp
server ntp1.plala.or.jp

最後にローカルで同期するのを停止します。
# Undisciplined Local Clock. This is a fake driver intended for backup
# and when no outside source of synchronized time is available.
#server 127.127.1.0 # local clock
#fudge 127.127.1.0 stratum 10

自動起動するようにデーモンを設定します。
# chkconfig –level 3 ntpd on
デーモンを起動する
# service ntpd start
10分後ぐらいに同期を確認します。
# ntpq -p
remote refid st t when poll reach delay offset jitter
=============================================================
+ntp2.plala.or.j 202.234.233.109 4 u 30 64 377 14.117 23.350 7.381
*ntp1.plala.or.j 202.234.233.109 4 u 33 64 377 13.983 29.240 3.461
先頭に「*」が付いたNTPが現在の同期サーバーとして、「+」が付いたNTPが予備サーバーとして正常に同期したことを示しています。
現在の時刻を確認して終了です。
# date

NTPが同期しないのはなぜ? RTX1100が原因!

WEBサーバをWindows ServerからCentOSに乗せ替えたのを機に、ログの時間を正確に合わせようとNTPサーバを組んでみましたが・・・・
なぜが同期しません。なぜ?なぜ?
プロバイダはビジネスぷららなので、プロバイダの提供するNTPサーバを利用してみます。
http://biz.plala.or.jp/support/manu/index.html
プライマリは「ntp2.plala.or.jp」、セカンダリは「ntp1.plala.or.jp」となります。
しかし、ntpdateの詳細コマンドの実行結果でも「no server suitable for synchronization found」となります。

# ntpdate -d ntp2.plala.or.jp
12 Jul 23:40:50 ntpdate[8159]: ntpdate 4.2.2p1@1.1570-o Sat Dec 19 00:58:17 UTC 2009 (1)
Looking for host ntp2.plala.or.jp and service ntp
host found : ntp2.plala.or.jp
transmit(219.164.211.137)
transmit(219.164.211.137)
transmit(219.164.211.137)
transmit(219.164.211.137)
transmit(219.164.211.137)
219.164.211.137: Server dropped: no data
server 219.164.211.137, port 123
stratum 0, precision 0, leap 00, trust 000
refid [219.164.211.137], delay 0.00000, dispersion 64.00000
transmitted 4, in filter 4
reference time: 00000000.00000000 Thu, Feb 7 2036 15:28:16.000
originate timestamp: 00000000.00000000 Thu, Feb 7 2036 15:28:16.000
transmit timestamp: cfe5a7f6.24db4890 Mon, Jul 12 2010 23:40:54.143
filter delay: 0.00000 0.00000 0.00000 0.00000
0.00000 0.00000 0.00000 0.00000
filter offset: 0.000000 0.000000 0.000000 0.000000
0.000000 0.000000 0.000000 0.000000
delay 0.00000, dispersion 64.00000
offset 0.000000
12 Jul 23:40:55 ntpdate[8159]: no server suitable for synchronization found

いろいろと調べてみると、YAMAHAのRTX1100の設定が問題だとわかりました。
NTPサーバを公開するフィルタ/NTPサーバに接続するフィルタを教えてくださいhttp://www.rtpro.yamaha.co.jp/RT/FAQ//IP-Filter/public-ntp-server.html
なるほど!DNSと同じでUDP通信のNTPは戻りパケットはestablishedでは通過できないのか。
ということで、rejectの前に
ip filter 33 pass * 210.160.212.153-210.160.212.158 udp ntp ntp,1024-65535
を追加して、
pp select 1
ip pp secure filter in 11 12 13 14 15 16 21 22 23 24 25 31 32 33 34 100
INフィルタに定義を追加しました。
ふたたび・・・・・

# ntpdate -d ntp2.plala.or.jp
12 Jul 23:45:08 ntpdate[8172]: ntpdate 4.2.2p1@1.1570-o Sat Dec 19 00:58:17 UTC 2009 (1)
Looking for host ntp2.plala.or.jp and service ntp
host found : ntp2.plala.or.jp
transmit(219.164.211.137)
receive(219.164.211.137)
transmit(219.164.211.137)
receive(219.164.211.137)
transmit(219.164.211.137)
receive(219.164.211.137)
transmit(219.164.211.137)
receive(219.164.211.137)
transmit(219.164.211.137)
server 219.164.211.137, port 123
stratum 4, precision -17, leap 00, trust 000
refid [219.164.211.137], delay 0.03940, dispersion 0.00006
transmitted 4, in filter 4
reference time: cfe5a88c.cf4080f9 Mon, Jul 12 2010 23:43:24.809
originate timestamp: cfe5a8e9.6788ca3e Mon, Jul 12 2010 23:44:57.404
transmit timestamp: cfe5a8f4.abc21187 Mon, Jul 12 2010 23:45:08.670
filter delay: 0.04099 0.03940 0.03972 0.03954
0.00000 0.00000 0.00000 0.00000
filter offset: -11.2734 -11.2734 -11.2736 -11.2734
0.000000 0.000000 0.000000 0.000000
delay 0.03940, dispersion 0.00006
offset -11.273424
12 Jul 23:45:08 ntpdate[8172]: step time server 219.164.211.137 offset -11.273424 sec

今度は「step time server 219.164.211.137 offset -11.273424 sec」にメッセージが変わったので、NTPサーバと通信できたようだ。
さらに、しばらく待って・・・

# ntpdate -d ntp2.plala.or.jp
13 Jul 00:05:15 ntpdate[8265]: ntpdate 4.2.2p1@1.1570-o Sat Dec 19 00:58:17 UTC 2009 (1)
Looking for host ntp2.plala.or.jp and service ntp
host found : ntp2.plala.or.jp
transmit(219.164.211.137)
receive(219.164.211.137)
transmit(219.164.211.137)
receive(219.164.211.137)
transmit(219.164.211.137)
receive(219.164.211.137)
transmit(219.164.211.137)
receive(219.164.211.137)
transmit(219.164.211.137)
server 219.164.211.137, port 123
stratum 4, precision -17, leap 00, trust 000
refid [219.164.211.137], delay 0.03911, dispersion 0.00008
transmitted 4, in filter 4
reference time: cfe5ac8f.106a8fc0 Tue, Jul 13 2010 0:00:31.064
originate timestamp: cfe5adab.ddec0b56 Tue, Jul 13 2010 0:05:15.866
transmit timestamp: cfe5adab.d5633482 Tue, Jul 13 2010 0:05:15.833
filter delay: 0.04726 0.03952 0.03952 0.03911
0.00000 0.00000 0.00000 0.00000
filter offset: 0.026731 0.026530 0.026451 0.026577
0.000000 0.000000 0.000000 0.000000
delay 0.03911, dispersion 0.00008
offset 0.026577
13 Jul 00:05:15 ntpdate[8265]: adjust time server 219.164.211.137 offset 0.026577 sec

adjust time server 219.164.211.137 offset 0.026577 sec
やった!!NTPが同期しましたよ。