網(wǎng)絡(luò)時鐘同步也叫“對鐘”，要把分布在各地的時鐘同步起來，最直觀的方法就是搬鐘，可用一個標準鐘作搬鐘，使各地的鐘均與標準鐘對準?；蛘呤拱徵娛紫扰c系統(tǒng)的標準時鐘對準，然后使系統(tǒng)中的其他時針與搬鐘比對，實現(xiàn)系統(tǒng)其他時鐘與系統(tǒng)統(tǒng)一標準時鐘同步。下面讓我們看看網(wǎng)絡(luò)時鐘不同步的問題是怎樣解決的。

網(wǎng)絡(luò)環(huán)境

如圖圖所示，在NE16E和NE80E上配置NTP，其中NE16E以NE80E為時鐘服務(wù)器，與之同步，NE80E與遠端時鐘服務(wù)器同步。

時鐘同步組網(wǎng)圖

配置完成后，發(fā)現(xiàn)NE16E與NE80E及NE80E與遠端服務(wù)器之間均未能時鐘同步。

故障分析

步驟 1     分別在NE16E、NE80E執(zhí)行命令display ntp status，確認NE16E與NE80E，NE80E與遠端服務(wù)器之間均未能時鐘同步

步驟 2     在NE80E執(zhí)行命令display this，查看NE80E上ACL和NTP設(shè)置。

顯示信息如下：

#  
 
acl number 2050  
 
rule 2 permit source 222.55.0.49 0  
 
rule 3 permit source 222.55.0.46 0  
 
rule 10 permit source 222.55.1.206 0  
 
rule 127 deny  
 
#  
 
ntp-service access query 2050  
 
ntp-service unicast-server 211.98.3.140  
 
Return 

步驟 3     在NE16E執(zhí)行命令display this，查看NE16E上NTP設(shè)置。

顯示信息如下：

#  
 
ntp-service unicast-server 222.55.0.9  
 
Return 

步驟 4     在NE80E執(zhí)行命令undo ntp-service access query 2050，去掉ACL限制后能夠正常執(zhí)行時間同步。

步驟 5     NE80E需要接受NE16E的時間請求，同時又要同步到遠端時鐘服務(wù)器。所以，此種情況應(yīng)選擇支持時間請求和同步到遠端服務(wù)器的peer訪問權(quán)限方式。

說明：NTP的四種訪問權(quán)限：

1、query：只允許對本地NTP服務(wù)進行控制查詢。

2、synchronization：只允許對本地NTP進行時間請求。

3、server：可以對本地NTP服務(wù)進行時間請求和控制查詢，但本地時鐘不會同步到遠端服務(wù)器。

4、peer：即可以對本地NTP服務(wù)進行時間請求和控制查詢，本地時鐘又可以同步到遠端服務(wù)器。采用記錄路由的方式ping NE5000E-2，NE5000E-2接到報文后需要上送主控處理。

步驟 6     進一步分析，如果NE80E與遠端時鐘服務(wù)器交互，NE80E的ACL列表配置存在錯誤。在NE80E配置的ACL中沒有加入允許進行訪問的遠端服務(wù)器的IP，而僅允許NE16E的IP通過。這樣自然無法同遠端服務(wù)器進行同步交互。

----結(jié)束

處理步驟

步驟 1     登陸NE80E，執(zhí)行命令system-view，進入系統(tǒng)視圖。

步驟 2     執(zhí)行命令ntp-service access peer 2050，指定NE80E對等體建立的ACL。

步驟 3     執(zhí)行命令ntp-service unicast-server 211.98.3.140，指定NE80E的時鐘同步服務(wù)器。

步驟 4     執(zhí)行命令acl number 2050，進入ACL編號為2050的視圖。

步驟 5     執(zhí)行命令rule 2 permit source 222.55.0.49 0，ACL添加允許NE16E的源地址接入規(guī)則，從而實現(xiàn)接受NE16E的時鐘查詢。

步驟 6     執(zhí)行命令rule 3 permit source 222.55.0.46 0，ACL添加允許接入的IP地址。

步驟 7     執(zhí)行命令rule 3 permit source 211.98.3.140 0，ACL添加允許遠端時鐘服務(wù)器地址接入規(guī)則，從而可以實現(xiàn)NE80與遠端時鐘服務(wù)器交互。

步驟 8     執(zhí)行命令quit，退出ACL編輯視圖。

步驟 9     執(zhí)行命令return退回到用戶視圖，執(zhí)行命令save，保存對配置的修改。

步驟 10     登陸NE80E執(zhí)行命令display ntp-service status，

顯示信息如下：

clock status: synchronized  
 
clock stratum: 3  
 
reference clock ID: 211.98.3.104 

確認NE80E與遠端服務(wù)器之間時鐘均能夠正常同步。

步驟 11     登陸NE16E執(zhí)行命令display ntp-service status，

顯示信息如下：

clock status: synchronized  
 
clock stratum: 4  
 
reference clock ID: 222.55.0.9 

NE16能與NE80時鐘進行正常同步。

故障排除。

----結(jié)束

案例總結(jié)

通過設(shè)置訪問權(quán)限保護本地NTP服務(wù)，是VRP提供的一種比較簡單的安全措施。VRP提供4個等級的訪問限制，當1個NTP訪問請求到達本地時，按照最小訪問限制到***訪問限制依次匹配，以第1個匹配的為準，匹配順序如下：peer，server，synchronization，query。

需要根據(jù)實際組網(wǎng)需求設(shè)置正確的訪問權(quán)限。在選用peer權(quán)限時，對主動對等體添加ACL時候，要注意允許被動對等體的訪問。
 

【編輯推薦】

1. 路由器故障：登錄SSH服務(wù)器失敗
2. 路由故障：NE5000E路由器Telnet失敗
3. 路由故障：傳輸網(wǎng)告警導(dǎo)致整網(wǎng)路由震蕩