Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Problema

Solución

Problemas adicionales

Problemas de VMware

Información Relacionada

Introducción

Este documento describe el problema encontrado cuando Cisco ISE y otros servidores basados en Linux no pueden sincronizarse con un servidor NTP instalado en un servidor Microsoft Windows Server y una solución para él

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Configuración CLI de Cisco Identity Services Engine (ISE)

- Conocimientos básicos de Network Time Protocol (NTP)

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Microsoft Windows Server versión 2012

- Software Cisco ISE versiones 1.3 y posteriores

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Problema

Después de configurar la CLI de ISE para utilizar Microsoft Windows Server como NTP, no se sincroniza. Se utiliza la configuración predeterminada del controlador de dominio de Microsoft Windows Server 2012 (configuración predeterminada de NTP). ISE informa de que el origen local aún se utiliza:

ise14/admin# show ntp

Configured NTP Servers:

10.62.145.72

synchronised to local net at stratum 11

time correct to within 11 ms

polling server every 1024 s

remote refid st t when poll reach delay offset jitter

==============================================================================

*127.127.1.0 .LOCL. 10 l 9 64 377 0.000 0.000 0.000

10.62.145.72 .LOCL. 1 u 226 1024 377 0.896 -3.998 4.130

* Current time source, + Candidate , x False ticker

Warning: Output results may conflict during periods of changing synchronization.

Todos los parámetros (disponibilidad, retraso, desplazamiento y fluctuación) parecen ser correctos y no hay forma de solucionar el problema desde la CLI (fallo de sincronización NTP). Para confirmar el problema, debe desplazarse hasta el nivel raíz y utilizar la herramienta NTPQ para realizar consultasntpd daemon para ver más detalles:

[root@ise14]# ntpq

ntpq> associations

ind assID status conf reach auth condition last_event cnt

===========================================================

1 53519 9614 yes yes none sys.peer reachable 1

2 53520 9014 yes yes none reject reachable 1

Como se muestra, hay dos asociaciones presentadas. La asociación 53520 se marca como 'rechazada'. A continuación, se incluyen algunos detalles adicionales de dicha asociación:

ntpq> mrv 53520 53520

assID=53520 status=9014 reach, conf, 1 event, event_reach,

srcadr=10.62.145.72, srcport=123, dstadr=10.62.145.42, dstport=123,

leap=00, stratum=1, precision=-6, rootdelay=0.000,

rootdispersion=10032.150, refid=LOCL, reach=377, unreach=0, hmode=3,

pmode=4, hpoll=10, ppoll=10, flash=400 peer_dist, keyid=0, ttl=0,

offset=-32.465, delay=0.898, dispersion=30.345, jitter=4.519,

reftime=d96b0358.fe7c815a Tue, Aug 4 2015 11:24:40.994,

org=d96b08ed.829514cf Tue, Aug 4 2015 11:48:29.510,

rec=d96b08ed.8b022d8d Tue, Aug 4 2015 11:48:29.543,

xmt=d96b08ed.8ac74cca Tue, Aug 4 2015 11:48:29.542,

filtdelay= 0.90 1.20 0.95 0.93 0.87 0.89 1.19 0.93,

filtoffset= -32.47 -27.95 -26.50 -34.32 -27.74 -18.14 -22.54 -23.79,

filtdisp= 15.63 30.97 46.32 61.68 77.05 92.44 107.82 115.48

Es posible confirmar que éste es el servidor NTP previamente configurado (10.62.145.72) para el cual falla la sincronización. Además, el parámetro de dispersión de la raíz es grande (por encima de 10.000 ms). Utilice esta información para confirmar este parámetro desde Microsoft Windows Server:

C:\Users\Administrator> w32tm /query /status

Leap Indicator: 0(no warning)

Stratum: 1 (primary reference - syncd by radio clock)

Precision: -6 (15.625ms per tick)

Root Delay: 0.0000000s

Root Dispersion: 10.0000000s

ReferenceId: 0x4C4F434C (source name: "LOCL")

Last Successful Sync Time: 04/08/2015 11:15:32

Source: Local CMOS Clock

Poll Interval: 6 (64s)

Las capturas de paquetes presentan la solicitud que se envía desde ISE, con una dispersión raíz aceptable de un segundo:

Esta es la respuesta del servidor, que tiene una dispersión de raíz que es mayor que diez segundos:

Como resultado, esto no se acepta, lo que hace que ISE rechace la solicitud y continúe con la fuente horaria local.

La dispersión de raíz es un número que indica el error máximo relativo al origen de referencia principal en la raíz de la subred de sincronización. Cada servidor NTP lo aumenta. De forma predeterminada, el servidor de Microsoft establece el valor en diez segundos sólo cuando se utiliza su propio origen de hora local (para indicar que no es un origen de tiempo confiable). Cuando el servidor NTP de Microsoft está configurado con un NTP externo, este valor se deriva del servidor y el problema no existe.

Solución

Según la documentación de Microsoft , es posible configurar el LocalRootDispersion en el Registro. Complete estos pasos para configurar el valor del registro:

1. Detenga el servicio NTP de PowerShell (opcionalmente, introduzca el net stop w32time ):

PS C:\Users\Administrator> Stop-Service w32time

2. Establezca el valor del Registro en 0:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\LocalClockDispersion

3. Reinicie el servicio (si lo desea, introduzca el net start w32time ):

PS C:\Users\Administrator> Start-Service w32time

4. Compruebe que se ha notificado el nuevo valor (0):

C:\Users\Administrator> w32tm /query /status

Leap Indicator: 0(no warning)

Stratum: 1 (primary reference - syncd by radio clock)

Precision: -6 (15.625ms per tick)

Root Delay: 0.0000000s

Root Dispersion: 0.0000000s

ReferenceId: 0x4C4F434C (source name: "LOCL")

Last Successful Sync Time: 04/08/2015 11:15:32

Source: Local CMOS Clock

Poll Interval: 6 (64s)

La herramienta NTPQ de ISE debe informar ahora de un valor bajo (48 ms):

ntpq> mrv 53520 53520

assID=8400 status=9614 reach, conf, sel_sys.peer, 1 event, event_reach,

srcadr=10.62.145.72, srcport=123, dstadr=10.62.145.42, dstport=123,

leap=00, stratum=1, precision=-6, rootdelay=0.000,

rootdispersion=48.431, refid=LOCL, reach=377, unreach=0, hmode=3,

pmode=4, hpoll=7, ppoll=7, flash=00 ok, keyid=0, ttl=0, offset=8.206,

delay=0.514, dispersion=21.595, jitter=3.456,

reftime=d96b0c49.2c834d26 Tue, Aug 4 2015 12:02:49.173,

org=d96b175c.d472ead9 Tue, Aug 4 2015 12:50:04.829,

rec=d96b175c.d2bf9803 Tue, Aug 4 2015 12:50:04.823,

xmt=d96b175c.d284b95f Tue, Aug 4 2015 12:50:04.822,

filtdelay= 0.90 0.86 0.51 0.87 0.80 0.82 0.85 0.88,

filtoffset= 7.09 5.23 8.21 6.78 2.73 8.43 1.93 9.67,

filtdisp= 15.63 17.56 19.48 21.39 23.32 25.24 27.18 29.08

Esto permite que la sincronización se produzca como se esperaba:

ntpq> associations

ind assID status conf reach auth condition last_event cnt

===========================================================

1 53519 9014 yes yes none reject reachable 1

2 53520 9614 yes yes none sys.peer reachable 1

También puede verificar esta información desde la CLI:

ise14/admin# show ntp

Configured NTP Servers:

10.62.145.72

synchronised to NTP server (10.62.145.72) at stratum 2

time correct to within 80 ms

polling server every 128 s

remote refid st t when poll reach delay offset jitter

==============================================================================

127.127.1.0 .LOCL. 10 l 15 64 377 0.000 0.000 0.000

*10.62.145.72 .LOCL. 1 u 26 128 377 0.514 8.206 3.456

* Current time source, + Candidate , x False ticker

Warning: Output results may conflict during periods of changing synchronization.

Problemas adicionales

Algunas de las versiones anteriores de Microsoft Windows Server pueden tener una configuración de NTP predeterminada diferente. Cisco recomienda que verifique si estos parámetros son correctos y aceptables para ISE. Compruebe la siguiente configuración del Registro:

- Cambie el Enabled indicador de valor a 1 para habilitar el servidor NTP:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders

\NTPServer\Enabled

- Establezca el Type entrada de registro a NTP para cambiar el tipo de servidor:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\Type

- Establezca el Announce Flags entrada del registro a 5 para indicar una fuente de tiempo confiable:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config

\AnnounceFlags

Problemas de VMware

Los problemas de sincronización de NTP pueden deberse al identificador de error de VMware 2075424  (el host de ESXi no sincroniza la hora con el servidor NTP).

El problema se resuelve en estos parches:

- Actualización 1 de VMware ESXi 5.5

- Parche 4 de VMware ESXi 5.1

- Parche 8 de VMware ESXi 5.0

Información Relacionada

- Guía del administrador de Cisco Identity Services Engine, versión 1.4

- Soporte Técnico y Documentación - Cisco Systems