Table des matières

Introduction

Conditions préalables

Exigences

Composants utilisés

Problème

Solution

Autres problèmes

Problèmes VMware

Informations connexes

Introduction

Ce document décrit le problème rencontré lorsque Cisco ISE et d'autres serveurs basés sur Linux ne parviennent pas à se synchroniser avec un serveur NTP installé sur un serveur Microsoft Windows Server et une solution à ce problème

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

- Configuration CLI de Cisco Identity Services Engine (ISE)

- Connaissance de base du protocole NTP (Network Time Protocol)

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- Microsoft Windows Server Version 2012

- Logiciel Cisco ISE versions 1.3 et ultérieures

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Problème

Une fois que vous avez configuré l'interface de ligne de commande ISE afin d'utiliser Microsoft Windows Server en tant que NTP, elle ne se synchronise pas. La configuration du contrôleur de domaine par défaut de Microsoft Windows Server 2012 est utilisée (configuration NTP par défaut). L'ISE signale que la source locale est toujours utilisée :

ise14/admin# show ntp

Configured NTP Servers:

10.62.145.72

synchronised to local net at stratum 11

time correct to within 11 ms

polling server every 1024 s

remote refid st t when poll reach delay offset jitter

==============================================================================

*127.127.1.0 .LOCL. 10 l 9 64 377 0.000 0.000 0.000

10.62.145.72 .LOCL. 1 u 226 1024 377 0.896 -3.998 4.130

* Current time source, + Candidate , x False ticker

Warning: Output results may conflict during periods of changing synchronization.

Tous les paramètres (accessibilité, délai, décalage et gigue) semblent être corrects et il n'existe aucun moyen de résoudre le problème à partir de l'interface de ligne de commande (échec de synchronisation NTP). Pour confirmer le problème, vous devez naviguer jusqu'au niveau racine et utiliser l'outil NTPQ afin d'interrogerntpd daemon pour plus de détails:

[root@ise14]# ntpq

ntpq> associations

ind assID status conf reach auth condition last_event cnt

===========================================================

1 53519 9614 yes yes none sys.peer reachable 1

2 53520 9014 yes yes none reject reachable 1

Comme le montre la figure, deux associations sont présentées. L'association 53520 est marquée comme « rejetée ». Voici quelques détails supplémentaires pour cette association :

ntpq> mrv 53520 53520

assID=53520 status=9014 reach, conf, 1 event, event_reach,

srcadr=10.62.145.72, srcport=123, dstadr=10.62.145.42, dstport=123,

leap=00, stratum=1, precision=-6, rootdelay=0.000,

rootdispersion=10032.150, refid=LOCL, reach=377, unreach=0, hmode=3,

pmode=4, hpoll=10, ppoll=10, flash=400 peer_dist, keyid=0, ttl=0,

offset=-32.465, delay=0.898, dispersion=30.345, jitter=4.519,

reftime=d96b0358.fe7c815a Tue, Aug 4 2015 11:24:40.994,

org=d96b08ed.829514cf Tue, Aug 4 2015 11:48:29.510,

rec=d96b08ed.8b022d8d Tue, Aug 4 2015 11:48:29.543,

xmt=d96b08ed.8ac74cca Tue, Aug 4 2015 11:48:29.542,

filtdelay= 0.90 1.20 0.95 0.93 0.87 0.89 1.19 0.93,

filtoffset= -32.47 -27.95 -26.50 -34.32 -27.74 -18.14 -22.54 -23.79,

filtdisp= 15.63 30.97 46.32 61.68 77.05 92.44 107.82 115.48

Il est possible de confirmer qu'il s'agit du serveur NTP précédemment configuré (10.62.145.72) pour lequel la synchronisation échoue. En outre, le paramètre de dispersion racine est important (supérieur à 10 000 ms). Utilisez ces informations afin de confirmer ce paramètre à partir de Microsoft Windows Server :

C:\Users\Administrator> w32tm /query /status

Leap Indicator: 0(no warning)

Stratum: 1 (primary reference - syncd by radio clock)

Precision: -6 (15.625ms per tick)

Root Delay: 0.0000000s

Root Dispersion: 10.0000000s

ReferenceId: 0x4C4F434C (source name: "LOCL")

Last Successful Sync Time: 04/08/2015 11:15:32

Source: Local CMOS Clock

Poll Interval: 6 (64s)

Les captures de paquets présentent la requête envoyée par l’ISE, avec une dispersion de racine acceptable d’une seconde :

Voici la réponse du serveur, dont la dispersion racine est supérieure à dix secondes :

Par conséquent, cela n'est pas accepté, ce qui entraîne l'ISE à abandonner la demande et à poursuivre avec la source de temps locale.

La dispersion racine est un nombre qui indique l'erreur maximale par rapport à la source de référence principale à la racine du sous-réseau de synchronisation. Chaque serveur NTP l'augmente. Par défaut, le serveur Microsoft définit la valeur sur dix secondes uniquement lorsque sa propre source de temps locale est utilisée (afin d'indiquer qu'il ne s'agit pas d'une source de temps fiable). Lorsque le serveur NTP Microsoft est configuré avec un serveur NTP externe, cette valeur est dérivée du serveur et le problème n'existe pas.

Solution

Selon la documentation Microsoft , il est possible de configurer le LocalRootDispersion dans le registre. Complétez ces étapes afin de configurer la valeur de registre :

1. Arrêtez le service NTP à partir de PowerShell (éventuellement, entrez la commande net stop w32time ) :

PS C:\Users\Administrator> Stop-Service w32time

2. Définissez la valeur de Registre sur 0 :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\LocalClockDispersion

3. Redémarrez le service (éventuellement, saisissez la commande net start w32time ) :

PS C:\Users\Administrator> Start-Service w32time

4. Vérifiez que la nouvelle valeur (0) est indiquée :

C:\Users\Administrator> w32tm /query /status

Leap Indicator: 0(no warning)

Stratum: 1 (primary reference - syncd by radio clock)

Precision: -6 (15.625ms per tick)

Root Delay: 0.0000000s

Root Dispersion: 0.0000000s

ReferenceId: 0x4C4F434C (source name: "LOCL")

Last Successful Sync Time: 04/08/2015 11:15:32

Source: Local CMOS Clock

Poll Interval: 6 (64s)

L'outil ISE NTPQ doit désormais signaler une valeur faible (48 ms) :

ntpq> mrv 53520 53520

assID=8400 status=9614 reach, conf, sel_sys.peer, 1 event, event_reach,

srcadr=10.62.145.72, srcport=123, dstadr=10.62.145.42, dstport=123,

leap=00, stratum=1, precision=-6, rootdelay=0.000,

rootdispersion=48.431, refid=LOCL, reach=377, unreach=0, hmode=3,

pmode=4, hpoll=7, ppoll=7, flash=00 ok, keyid=0, ttl=0, offset=8.206,

delay=0.514, dispersion=21.595, jitter=3.456,

reftime=d96b0c49.2c834d26 Tue, Aug 4 2015 12:02:49.173,

org=d96b175c.d472ead9 Tue, Aug 4 2015 12:50:04.829,

rec=d96b175c.d2bf9803 Tue, Aug 4 2015 12:50:04.823,

xmt=d96b175c.d284b95f Tue, Aug 4 2015 12:50:04.822,

filtdelay= 0.90 0.86 0.51 0.87 0.80 0.82 0.85 0.88,

filtoffset= 7.09 5.23 8.21 6.78 2.73 8.43 1.93 9.67,

filtdisp= 15.63 17.56 19.48 21.39 23.32 25.24 27.18 29.08

La synchronisation peut ainsi se dérouler comme prévu :

ntpq> associations

ind assID status conf reach auth condition last_event cnt

===========================================================

1 53519 9014 yes yes none reject reachable 1

2 53520 9614 yes yes none sys.peer reachable 1

Vous pouvez également vérifier ces informations à partir de l'interface de ligne de commande :

ise14/admin# show ntp

Configured NTP Servers:

10.62.145.72

synchronised to NTP server (10.62.145.72) at stratum 2

time correct to within 80 ms

polling server every 128 s

remote refid st t when poll reach delay offset jitter

==============================================================================

127.127.1.0 .LOCL. 10 l 15 64 377 0.000 0.000 0.000

*10.62.145.72 .LOCL. 1 u 26 128 377 0.514 8.206 3.456

* Current time source, + Candidate , x False ticker

Warning: Output results may conflict during periods of changing synchronization.

Autres problèmes

Certaines versions plus anciennes de Microsoft Windows Server peuvent avoir des paramètres NTP par défaut différents. Cisco vous recommande de vérifier si ces paramètres sont corrects et acceptables par l'ISE. Vérifiez les paramètres de registre suivants :

- Modifiez le Enabled flag value to 1 afin d'activer le serveur NTP :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders

\NTPServer\Enabled

- Définissez la Type entrée de registre à NTP afin de changer le type de serveur :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\Type

- Définissez la Announce Flags entrée de registre à 5 afin d'indiquer une source de temps fiable :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config

\AnnounceFlags

Problèmes VMware

Les problèmes de synchronisation NTP peuvent être causés par l'ID de bogue VMware 2075424  (l'hôte ESXi ne synchronise pas l'heure avec le serveur NTP).

Le problème est résolu dans les correctifs suivants :

- VMware ESXi 5.5 mise à jour 1

- VMware ESXi 5.1 Correctif 4

- VMware ESXi 5.0 Correctif 8

Informations connexes

- Guide de l'administrateur de Cisco Identity Services Engine, version 1.4

- Assistance et documentation techniques - Cisco Systems