路由故障：網(wǎng)絡(luò)時(shí)鐘不同步
網(wǎng)絡(luò)時(shí)鐘同步也叫“對(duì)鐘”，要把分布在各地的時(shí)鐘同步起來，最直觀的方法就是搬鐘，可用一個(gè)標(biāo)準(zhǔn)鐘作搬鐘，使各地的鐘均與標(biāo)準(zhǔn)鐘對(duì)準(zhǔn)。或者使搬鐘首先與系統(tǒng)的標(biāo)準(zhǔn)時(shí)鐘對(duì)準(zhǔn)，然后使系統(tǒng)中的其他時(shí)針與搬鐘比對(duì)，實(shí)現(xiàn)系統(tǒng)其他時(shí)鐘與系統(tǒng)統(tǒng)一標(biāo)準(zhǔn)時(shí)鐘同步。下面讓我們看看網(wǎng)絡(luò)時(shí)鐘不同步的問題是怎樣解決的。
網(wǎng)絡(luò)環(huán)境
如圖圖所示，在NE16E和NE80E上配置NTP，其中NE16E以NE80E為時(shí)鐘服務(wù)器，與之同步，NE80E與遠(yuǎn)端時(shí)鐘服務(wù)器同步。
時(shí)鐘同步組網(wǎng)圖
配置完成后，發(fā)現(xiàn)NE16E與NE80E及NE80E與遠(yuǎn)端服務(wù)器之間均未能時(shí)鐘同步。
故障分析
步驟 1 分別在NE16E、NE80E執(zhí)行命令display ntp status，確認(rèn)NE16E與NE80E，NE80E與遠(yuǎn)端服務(wù)器之間均未能時(shí)鐘同步
步驟 2 在NE80E執(zhí)行命令display this，查看NE80E上ACL和NTP設(shè)置。
顯示信息如下：
- #
- acl number 2050
- rule 2 permit source 222.55.0.49 0
- rule 3 permit source 222.55.0.46 0
- rule 10 permit source 222.55.1.206 0
- rule 127 deny
- #
- ntp-service access query 2050
- ntp-service unicast-server 211.98.3.140
- Return
步驟 3 在NE16E執(zhí)行命令display this，查看NE16E上NTP設(shè)置。
顯示信息如下：
- #
- ntp-service unicast-server 222.55.0.9
- Return
步驟 4 在NE80E執(zhí)行命令undo ntp-service access query 2050，去掉ACL限制后能夠正常執(zhí)行時(shí)間同步。
步驟 5 NE80E需要接受NE16E的時(shí)間請(qǐng)求，同時(shí)又要同步到遠(yuǎn)端時(shí)鐘服務(wù)器。所以，此種情況應(yīng)選擇支持時(shí)間請(qǐng)求和同步到遠(yuǎn)端服務(wù)器的peer訪問權(quán)限方式。
說明：NTP的四種訪問權(quán)限：
1、query：只允許對(duì)本地NTP服務(wù)進(jìn)行控制查詢。
2、synchronization：只允許對(duì)本地NTP進(jìn)行時(shí)間請(qǐng)求。
3、server：可以對(duì)本地NTP服務(wù)進(jìn)行時(shí)間請(qǐng)求和控制查詢，但本地時(shí)鐘不會(huì)同步到遠(yuǎn)端服務(wù)器。
4、peer：即可以對(duì)本地NTP服務(wù)進(jìn)行時(shí)間請(qǐng)求和控制查詢，本地時(shí)鐘又可以同步到遠(yuǎn)端服務(wù)器。采用記錄路由的方式ping NE5000E-2，NE5000E-2接到報(bào)文后需要上送主控處理。
步驟 6 進(jìn)一步分析，如果NE80E與遠(yuǎn)端時(shí)鐘服務(wù)器交互，NE80E的ACL列表配置存在錯(cuò)誤。在NE80E配置的ACL中沒有加入允許進(jìn)行訪問的遠(yuǎn)端服務(wù)器的IP，而僅允許NE16E的IP通過。這樣自然無法同遠(yuǎn)端服務(wù)器進(jìn)行同步交互。
----結(jié)束
處理步驟
步驟 1 登陸NE80E，執(zhí)行命令system-view，進(jìn)入系統(tǒng)視圖。
步驟 2 執(zhí)行命令ntp-service access peer 2050，指定NE80E對(duì)等體建立的ACL。
步驟 3 執(zhí)行命令ntp-service unicast-server 211.98.3.140，指定NE80E的時(shí)鐘同步服務(wù)器。
步驟 4 執(zhí)行命令acl number 2050，進(jìn)入ACL編號(hào)為2050的視圖。
步驟 5 執(zhí)行命令rule 2 permit source 222.55.0.49 0，ACL添加允許NE16E的源地址接入規(guī)則，從而實(shí)現(xiàn)接受NE16E的時(shí)鐘查詢。
步驟 6 執(zhí)行命令rule 3 permit source 222.55.0.46 0，ACL添加允許接入的IP地址。
步驟 7 執(zhí)行命令rule 3 permit source 211.98.3.140 0，ACL添加允許遠(yuǎn)端時(shí)鐘服務(wù)器地址接入規(guī)則，從而可以實(shí)現(xiàn)NE80與遠(yuǎn)端時(shí)鐘服務(wù)器交互。
步驟 8 執(zhí)行命令quit，退出ACL編輯視圖。
步驟 9 執(zhí)行命令return退回到用戶視圖，執(zhí)行命令save，保存對(duì)配置的修改。
步驟 10 登陸NE80E執(zhí)行命令display ntp-service status，
顯示信息如下：
- clock status: synchronized
- clock stratum: 3
- reference clock ID: 211.98.3.104
確認(rèn)NE80E與遠(yuǎn)端服務(wù)器之間時(shí)鐘均能夠正常同步。
步驟 11 登陸NE16E執(zhí)行命令display ntp-service status，
顯示信息如下：
- clock status: synchronized
- clock stratum: 4
- reference clock ID: 222.55.0.9
NE16能與NE80時(shí)鐘進(jìn)行正常同步。
故障排除。
----結(jié)束
案例總結(jié)
通過設(shè)置訪問權(quán)限保護(hù)本地NTP服務(wù)，是VRP提供的一種比較簡(jiǎn)單的安全措施。VRP提供4個(gè)等級(jí)的訪問限制，當(dāng)1個(gè)NTP訪問請(qǐng)求到達(dá)本地時(shí)，按照最小訪問限制到***訪問限制依次匹配，以第1個(gè)匹配的為準(zhǔn)，匹配順序如下：peer，server，synchronization，query。
需要根據(jù)實(shí)際組網(wǎng)需求設(shè)置正確的訪問權(quán)限。在選用peer權(quán)限時(shí)，對(duì)主動(dòng)對(duì)等體添加ACL時(shí)候，要注意允許被動(dòng)對(duì)等體的訪問。
【編輯推薦】
