Introduzione

In questo documento viene descritto come convalidare la configurazione NTP, modificare e risolvere i problemi del servizio NTP. È applicabile per i treni software Cyber Vision Center 2.x, 3.x, 4.x.

Passaggi per la convalida del peering del server NTP

ntpq -c peer <indirizzo IP dispositivo peer>

Con il peering, il centro ottiene il proprio tempo da un dispositivo peer come un router o un gateway nella rete.

Associazione client NTP

L'associazione NTP mostra lo stato delle associazioni client a ciascun server NTP.

ntpq -c associazioni <dispositivo in cui è sincronizzata l'ora>

Output di esempio:

Esempio: problema relativo alla risoluzione dei nomi

***Can't find host peer

server (local      remote           refid      st t when poll reach   delay   offset  jitter

===========================================================================================
localhost.lo *LOCAL(0)        .LOCL.          10 l    -   64  377    0.000    0.000   0.000

Controlla la data corrente

cv-admin@Center:~$ date

Tue Jul 11 18:01:05 UTC 2023

Verifica stato daemon NTP

systemctl status ntp

Modifica configurazione NTP

sbs-timeconf -h to learn about the commands to tune NTP on the center.
sbs-timeconf -s with IP or hostname.

Dopo le modifiche, riavviare il servizio ntp con il comando seguente:

Convalida configurazione NTP

cat /data/etc/ntp.conf

Vulnerabilità modalità NTP 6

Per risolvere il problema, è possibile procedere in due modi.

Opzione 1: utilizzo degli elenchi degli accessi

1. Creare il file rc.local in /data/etc con questa regola (solo su eth0 se l'implementazione ha un'unica interfaccia o in eth1 per l'interfaccia doppia). Regole di esempio seguenti:

iptables -I FORWARD -i eth0 -o brntpd -p udp -m udp --dport 123 -j DROP

iptables -I FORWARD -i eth0 -o brntpd -p udp -m udp -s X.X.X.X -d 169.254.0.10 --dport 123 -j ACCEPT

Con il comando precedente, X.X.X.X è l'indirizzo IP del server NTP autorizzato. Se si dispone di più server NTP, è possibile aggiungere regole di accettazione per ogni server NTP autorizzato utilizzato nella soluzione.

2.  Riavvia il centro

Opzione 2: dal file ntp.conf

   1. Nel file /data/etc/ntp.conf aggiungere queste due righe alla configurazione esistente

restrict default kod nomodify notrap nopeer noquery

restrict -6 default kod nomodify notrap nopeer noquery

2- Riavviare il servizio ntp con il comando "systemctl restart ntp"

Entrambe le opzioni possono essere combinate per una migliore sicurezza NTP.