L'un des serveurs NTP externes (le principal - actuellement) que nous utilisons comme source semble ne pas répondre aux appels NTP. Malheureusement, sur notre routeur principal (Cisco 6509), la fonctionnalité NTP n'a pas basculé vers le serveur externe NTP secondaire comme prévu. En conséquence, notre routeur principal, qui est à peu près notre principale source NTP interne, a 2 minutes de retard.

Je prévois de résoudre le problème du routeur externe en faisant de la source NTP externe celle qui fonctionne actuellement. Je me demande dans quelle mesure un changement de 2 minutes affectera mes utilisateurs et services? Surtout depuis ces jours, nous comptons fortement sur l'authentification basée sur les certificats.

Nous sommes une boutique Windows / Cisco.

Configuration NTP interne:

[Core Router 1 / Cisco 6509]:
recherche de deux serveurs NTP externes (dont le principal ne répond pas aux appels NTP)

[Core Router 2]:
synchronisation avec le routeur Core 1 (principal), le routeur externe fonctionnel (secondaire)

[Autres périphériques réseau Cisco]:
Synchronisation avec le routeur principal 1 (principal), le routeur principal 2 (secondaire)

[Contrôleur (s) de domaine]:
Synchronisation avec le routeur principal 1

[Tous les clients / serveurs Windows]:
synchronisation avec les contrôleurs de domaine

À moins que le chronométrage extrêmement précis ne soit essentiel pour vous, il ne devrait y avoir aucun effet perceptible pour vos utilisateurs, mis à part le fait que leurs horloges changent de 2 minutes.

L'exception possible est s'ils déclarent que votre serveur NTP est "fou" à la suite de la grande modification (ce qui vous obligerait à redémarrer le service NTP sur les systèmes affectés pour les forcer à synchroniser l'horloge - bien que vous puissiez le faire sans une panne).

Pendant que vous corrigez ce problème, voici quelques autres conseils:

• Vous devez configurer vos systèmes qui regardent les sources NTP externes pour regarder plusieurs (4-5) serveurs du projet de pool NTP public - de préférence ceux qui sont géographiquement appropriés.
  Avoir plus de serveurs NTP permet à l'algorithme de sélection d'ignorer ceux qui se cassent / deviennent fous et gardent votre horloge précise.

• Dans une configuration comme le vôtre , je pointer Core Router 1et Core Router 2à des sources d'horloge externes (pas).
  Cela vous donne deux horloges synchronisées indépendamment qui devraient être à quelques ms l'une de l'autre, mais si l'un de vos routeurs devient fou, cela ne peut pas blesser l'autre.

• Dans une configuration comme la vôtre, je pointerais les contrôleurs de domaine vers les DEUX routeurs principaux (encore une fois pour éviter que l'un ne baisse).
  Si vous voulez vous protéger contre une horloge qui devient folle, vous devez ajouter un troisième serveur NTP faisant autorité (ou répertorier deux fois l'un de vos routeurs et espérer que ce n'est pas celui qui perd la tête…)

Les valeurs par défaut du domaine pour Windows permettent au temps d'être éteint de +/- 300 secondes avant que l'authentification cesse de fonctionner, donc tout ira bien. Voici un article assez exhaustif sur le sujet , qui mentionne même comment modifier votre tolérance au décalage temporel avec un objet de stratégie de groupe au niveau du domaine. C'est à Computer Configuration-> Policies-> Windows Settings-> Security Settings-> Account Policies-> Kerberos Policy-> Maximum tolerance for computer clock synchronization.

Cela dit, vous devez synchroniser votre source de temps faisant autorité (qui est généralement le contrôleur de domaine détenant le rôle d'émulateur PDC dans un domaine Windows) avec une ntpsource externe , comme pool.ntp.org. Plus d'infos sur Technet, ici .

Et en réponse à l'autre réponse, cela ne nécessite pas de temps d'arrêt. Il suffit de rediriger votre source de temps faisant autorité et les autres ordinateurs joints au domaine se synchroniseront également.

EDIT: puisque @ voretaq7 l'a mentionné, je dois souligner que nous n'avons qu'un seul système à voir une source de temps extérieure, notre émulateur PDC. Tous les appareils, y compris la synchronisation de l'équipement réseau. Nous trouvons que cela est un meilleur arrangement, car l'équipement de réseau ne rejettera pas l'authentification en raison du décalage temporel, mais les ordinateurs joints à un domaine utilisant Kerberos (qui sont tous pour nous) le seront. À cet égard, il n'est pas particulièrement important d'avoir une heure précise sur notre équipement réseau, mais c'est sur nos systèmes Windows, doublement parce que nous exécutons également notre logiciel de chronométrage pour les employés horaires sur un serveur Windows.

Les clients Windows n'auront en fait aucun problème de connexion. La description de la Maximum tolerance for computer clock synchronizationpolitique est plutôt inexacte de nos jours.

Un client avec une horloge gravement erronée recevra une réponse du serveur établissant l'inclinaison entre leurs horloges - l'authentification se déroule ensuite normalement (le client s'ajustant lui-même pour tenir compte de l'inclinaison apparente de l'horloge).

La description est juste sur une chose; la politique définit toujours efficacement le minuteur pour les attaques de relecture - mais, en termes de trafic légitime, la communication est robuste contre les grandes asymétries d'horloge.

Consultez cet article MS KB pour plus d'informations.

Vous voudrez peut-être envisager d'autres serveurs NTP que votre équipement cisco de base: un trafic NTP sérieux donne une charge de processeur élevée sur l'équipement cisco, ce qui pourrait entraîner des problèmes de réseau.

Évidemment, vous ne pouvez pas planifier un petit temps d'arrêt, n'est-ce pas? Je voudrais pousser pour un temps d'arrêt afin de redémarrer le service ntp sur tous les serveurs affectés. Si ce n'est pas possible, vous devez attendre un certain temps.

(J'allais en faire un commentaire sur la réponse de vortaq7, mais je pense que cela mérite d'être répété à part entière, car beaucoup de gens font cette erreur.)

Vous avez besoin d'au moins 3 (de préférence 4 à 6) sources de temps pour que l'algorithme de NTP converge avec précision sur l'heure correcte. Si NTP n'a que deux sources principales et qu'elles sont toutes les deux hors de prix, NTP n'a aucun moyen de savoir laquelle faire confiance.

La plus grande aide qui m'a été apportée pour comprendre cela était le diagramme à la page 9 du plan directeur de Sun "Utilisation de NTP pour contrôler et synchroniser les horloges système, partie III: Surveillance et dépannage NTP". Ce document a disparu de la vue quand Oracle a acheté Sun, mais vous pouvez toujours le trouver sur la Wayback Machine . Il existe également de nombreux hits sur le Web si vous recherchez le titre.