ACS 5.x: Cisco ACS-synchrone met NTP-serverconfiguratievoorbeeld

Inleiding

Network Time Protocol (NTP) is een protocol dat wordt gebruikt om de klokken van verschillende netwerkentiteiten te synchroniseren. Het maakt gebruik van UDP/123. Het belangrijkste doel van dit protocol is te voorkomen dat de gevolgen van variabele vertraging op de gegevensnetwerken zich voordoen.

Dit document biedt een voorbeeldconfiguratie voor Cisco ACS om de klok met de NTP-server te synchroniseren. ACS 5.x is toegestaan om maximaal twee NTP-servers te configureren.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Secure ACS versie 5.x

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Conventies

Raadpleeg de Cisco Technical Tips Convention voor meer informatie over documentconventies.

Configureren

Deze sectie bevat informatie over het configureren van de functies die in dit document worden beschreven.

Opmerking: Gebruik het Opname Gereedschap (alleen geregistreerde klanten) om meer informatie te verkrijgen over de opdrachten die in deze sectie worden gebruikt.

NTP-configuratie voor Cisco ACS

Voltooi de volgende stappen om de tijd van Cisco ACS met een NTP-server te synchroniseren:

1. Stel de datum en de tijd handmatig in op de kloktijd die ingesteld is op <dag> <h:min> <jjjj>-opdracht.

2. Specificeer de tijdzone met de opdracht kloktijd <tijdzone>.

3. Specificeer de NTP-server met de NTP-server <IP-adres van de NTP-server> opdracht.

   NTP volgt een client-server hiërarchie. Wanneer een NTP-client is geconfigureerd met een NTP-server, wordt de Referentieklok van de NTP-server doorgegeven aan de client. Het duurt ongeveer 10-20 minuten om de nauwkeurige tijd van de NTP server te krijgen en hangt af van de vertraging die optreedt om de NTP server te bereiken.

   Cisco ACS gebruikt de NTP datum om zijn klok met de NTP server te synchroniseren. Het biedt geen ondersteuning voor Simple NTP, SNTP. Wanneer de NTP-datum start, stuurt ACS een pakket naar de NTP-server dat de oorspronkelijke tijd (lokaal) bevat. Dan antwoordt NTP server op het pakje met de toevoeging van zijn tijd van de Kloktijd van de Referentie. Zodra de NTP-client dit pakket ontvangt, logt de client het pakket in met zijn eigen lokale tijd om de reistijd die door het pakje is genomen te valideren. Verscheidene van dergelijke pakketuitwisselingen vinden plaats om de exacte rondreisvertragingstijd en offset-waarden te berekenen en tenslotte wordt de lokale tijd van NTP-client gesynchroniseerd met de referentieklok van de NTP-server.

Verifiëren

Gebruik dit gedeelte om te bevestigen dat de configuratie correct werkt.

Raadpleeg deze opdrachtuitvoerknoppen om de configuratiegegevens te controleren.

acs51/admin#show clock
Wed Jun 13 11:02:00 IST 2012
acs51/admin#

acs51/admin(config)#ntp server 192.168.26.55
The NTP server was modified.
If this action resulted in a clock modification, you must restart ACS.
acs51/admin(config)#

acs51/admin#show ntp
Primary NTP   : 192.168.26.55

synchronised to NTP server (192.168.26.55) at stratum 2
   time correct to within 27 ms
   polling server every 64 s

     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
127.127.1.0     LOCAL(0)        10 l   29   64   17    0.000    0.000   0.001
*192.168.26.55   .LOCL.           1 u   33   64   17    0.285   -9.900   2.733

Warning: Output results may conflict during periods of changing synchronization.

Opmerking:  Stratum is een maatregel die specificeert hoe dichtbij de NTP-server is op de Primaire Referentieklok. Elke NTP-client die gesynchroniseerd is met een stratum n-server wordt aangevinkt op stratum n+1 niveau.

Raadpleeg deze logberichten van de toepassing van ACS om de NTP-synchronisatiedetails te controleren.

acs51/admin# show logging application | in ntp
Jun 13 13:51:59 acs51 ntpd[20259]: ntpd 4.2.0a@1.1190-r Mon Jul 28 11:03:50 EDT 2008 (1)
Jun 13 13:51:59 acs51 ntpd[20259]: precision = 1.000 usec
Jun 13 13:51:59 acs51 ntpd[20259]: Listening on interface wildcard, 0.0.0.0#123
Jun 13 13:51:59 acs51 ntpd[20259]: Listening on interface wildcard, ::#123
Jun 13 13:51:59 acs51 ntpd[20259]: Listening on interface lo, 127.0.0.1#123
Jun 13 13:51:59 acs51 ntpd[20259]: Listening on interface eth0, 192.168.26.51#123
Jun 13 13:51:59 acs51 ntpd[20259]: kernel time sync status 0040
Jun 13 13:51:59 acs51 ntpd[20259]: frequency initialized 0.000 PPM from /var/lib/ntp/drift
Jun 13 13:51:59 acs51 ntpd: ntpd startup succeeded
Jun 13 13:55:15 acs51 ntpd[20259]: synchronized to 192.168.26.55, stratum 2


!--- Output suppressed–

Het Uitvoer Tolk (uitsluitend geregistreerde klanten) (OIT) ondersteunt bepaalde show opdrachten. Gebruik de OIT om een analyse van tonen opdrachtoutput te bekijken.

Problemen oplossen

Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.

Probleem: Kloksignalen zijn te veel en NTP mislukt wanneer ACS op een VMWare-machine is geïnstalleerd

Cisco ACS wordt ingesteld om de NTP-server als klokbron te gebruiken, maar het verandert voortdurend in de interne tijdbron. Wanneer dit gebeurt, stelt het gebruikers niet in om van Actieve Map voor authentiek te verklaren aangezien Kerberos slechts 300 seconden van tijdverschil steunt.

Oplossing

Wanneer de ESXi-host een hoog CPU-gebruik heeft, wordt VM's niet zo vaak als normaal gebruikt. Dit beïnvloedt de klokken binnen VM's en veroorzaakt klokverschuiving van een Windows-controller die meer dan vijf minuten bedraagt. Het veroorzaakt dat de Kerberos falen. Dit zou ook een Windows VM zonder NTP of host kloksync beïnvloeden. Aangezien de virtuele kloktijd die aan Cisco ACS wordt voorgesteld niet stabiel genoeg is voor NTP om het verloop bij te houden, keert deze uiteindelijk terug om zichzelf als tijdbron te gebruiken.

Opmerking: De NTP-ingang past de kloktijd aan in verschillende beurzen en gaat door tot de client de juiste tijd heeft verworven. Wanneer de vertraging tussen de NTP-server en de NTP-client echter te groot wordt, wordt de NTP-datum beëindigd en moet u de tijd handmatig aanpassen en de NTP-datum opnieuw starten.

Dit probleem wordt ingesteld om op te lossen wanneer u de VMWare-gereedschappen ondersteunt in Cisco ACS, die beschikbaar is met Cisco ACS release 5.4 die nog moet worden vrijgegeven. Raadpleeg Cisco bug-ID CSCtg50048 (alleen geregistreerde klanten) voor meer informatie. Als tijdelijke oplossing kunt u de volgende stappen uitvoeren:

• Stop ACS-diensten met de ACS-stop.

• Verwijder alle NTP-configuratie en bewaar de configuratie met een schrijfmachine-opdracht.

• Herstart Cisco ACS.

• Controleer of alle services actief zijn met de opdracht Toepassingsstatus tonen.

• Stel de klok in om zo dicht mogelijk bij de real time te zijn, op de tweede voor van de offset-eis op NTP.

• Zorg ervoor dat de Time-zone de juiste is.

• Voeg de NTP-configuratie opnieuw toe en bewaar deze.

• Voer de opdracht NTP-software uit om te controleren of de uitvoer hetzelfde is.

N.B.: Als deze stappen de kwestie niet oplossen, is het raadzaam contact op te nemen met Cisco TAC.

NTP-synchronisatie verloren nadat het interface-IP-adres van ACS is gewijzigd

Als u het IP-adres van de ACS-NIC wijzigt, wordt NTP niet gesynchroniseerd.

Oplossing

Dit gedrag wordt waargenomen en aangemeld in Cisco bug-ID CSCtk76151 (alleen geregistreerde klanten). Wanneer het ACS IP-adres wordt gewijzigd, start het de ACS-toepassing opnieuw, maar niet de NTP-datum. Het is vastgelegd in ACS versie 5.3.0.23. Voltooi de volgende stappen om dit probleem in eerdere versies op te lossen:

1. Geef de ntp server opdracht uit om het NTP-proces te stoppen.

2. Geef de ntp server opdracht opnieuw uit om het NTP-proces opnieuw op te starten.

Gerelateerde informatie

• Productondersteuning voor UCS ACS 5.X
• Gebruikershandleiding voor Cisco Secure Access Control System 5.3
• Technische ondersteuning en documentatie – Cisco Systems