内容

概要

ASA が、NTP サーバとして設定された Windows サーバとの同期に失敗するのはなぜですか。

概要

このドキュメントでは、ASAがNetwork Time Protocol(NTP)サーバと時刻を同期しない理由、デフォルトの分散値が1秒を超える原因、およびこの問題の解決方法について説明します。

ASA が、NTP サーバとして設定された Windows サーバとの同期に失敗するのはなぜですか。

適応型セキュリティアプライアンス(ASA)は、NTPサーバが1秒を超える分散値を送信するときに、Network Time Protocol(NTP)サーバと時刻を同期しません。これは、NTPサーバとして使用されるMicrosoft Windows Serverのデフォルト分散値です。この問題はどうすれば解決しますか。

NTP: rcv packet from 172.23.226.161 to 172.23.246.71 on management:

leap 0, mode 4, version 3, stratum 2, ppoll 64

rtdel 0800 (31.250), rtdsp ae343 (10887.741), refid C6976401 (198.151.100.1)

ASAのクロックをNTPで同期するには、分散値が1000ミリ秒（1秒）未満である必要があります。Windows Serverで報告される分散値が大きすぎるため、ASAを同期できません。そのため、この要件に対応するには、Windows Serverを調整する必要があります。これは、サーバでレジストリを変更するときに実行できます。LocalClockDispersion Entryの詳細については、次のMicrosoftのドキュメントを参照してください 。

NTPサーバとして動作するWindows Serverがドメインコントローラ(DC)でない場合は、AnnounceFlagsレジストリ設定を0x5(0x01 + 0x04)に変更する必要があります。 詳細については、次のMicrosoftドキュメントを参照してください。

Config\AnnounceFlagsエントリ 。

Microsoftの実装では、ほとんどのNTPサーバとは動作が異なり、前述のような問題が発生する可能性があります。Microsoft Windows ServerのNTP実装では、他の一部のNTPサーバと比べて異常に大きいルート分散値でパケットが送信されます。この出力は、未調整のWindowsサーバに同期を試みるASAのdebug ntp packetに基づいています。

NTP: rcv packet from 172.16.1.3 to 172.16.1.1 on DMZ:

leap 0, mode 4, version 3, stratum 2, ppoll 64

rtdel 0800 (31.250), rtdsp 7dcc3 (7862.350), refid C6976401 (198.151.100.1)

ref ccd5ee4e.4cd51570 (22:23:58.300 EDT Mon Apr 24 2013)

org ccd5ee61.f71e22bd (22:24:17.965 EDT Mon Apr 24 2013)

rec ccd5ee61.f0ac1fae (22:24:17.940 EDT Mon Apr 24 2013)

xmt ccd5ee61.f0ac1fae (22:24:17.940 EDT Mon Apr 24 2013)

inp ccd5ee61.f8744957 (22:24:17.970 EDT Mon Apr 24 2013)

NTP: 172.16.1.3 reachable

関心のある価値は次のとおりです。rtdsp 7dcc3 (7862.350)を使用します。  分散は、その参照ソースに対するエラーをミリ秒単位で示します。 ASAのNTP実装では、パケット内のルート分散値が1,000より大きい場合、時刻源が無効であると宣言されます。

問題なく同期するNTPサーバから受信した応答のデバッグ出力を次に示します。ルートの分散は非常に低いことに注意してください。

NTP: rcv packet from 172.18.108.15 to 172.18.254.61 on outside:

leap 0, mode 4, version 3, stratum 1, ppoll 64

rtdel 0000 (0.000), rtdsp 000f (0.229), refid C6976401 (198.151.100.1)

ref ccd5fc03.000becc0 (23:22:27.000 EDT Mon Apr 24 2013)

org ccd5fc09.7705ecf8 (23:22:33.464 EDT Mon Apr 24 2013)

rec ccd5fc09.778d15a1 (23:22:33.466 EDT Mon Apr 24 2013)

xmt ccd5fc09.778e1e93 (23:22:33.467 EDT Mon Apr 24 2013)

inp ccd5fc09.778eb534 (23:22:33.467 EDT Mon Apr 24 2013)

前述のMicrosoftの記事に従ってサーバのレジストリを変更した場合、ルート分散値を許容レベルに下げますが、ローカルクロックが時間基準として使用されている場合にのみ下げます。 ルートの分散を大幅に減らすために、LocalClockDispersionを「0」に設定します。

レジストリ値を変更した後のWindows Server NTP応答のパケットデバッグを次に示します。

NTP: rcv packet from 172.16.1.3 to 172.16.1.1 on DMZ:

leap 0, mode 4, version 3, stratum 1, ppoll 128

rtdel 0000 (0.000), rtdsp 0ede (58.075), refid C6976401 (198.151.100.1)

ref ccd60291.af53f7ce (23:50:25.684 EDT Mon Apr 24 2013)

org ccd610e5.efecb657 (00:51:33.937 EDT Tue Apr 25 2013)

rec ccd610e5.ff333333 (00:51:33.996 EDT Tue Apr 25 2013)

xmt ccd610e5.ff333333 (00:51:33.996 EDT Tue Apr 25 2013)

inp ccd610e5.f07b651d (00:51:33.939 EDT Tue Apr 25 2013)

ストラタム1よりも大きいルート分散値は、2番目の出力で送信およびメモされますが、1,000未満であり、ASAによって受け入れられます。