Contents

Introdução

Pré-requisitos

Requisitos

Componentes Utilizados

Problema

Solução

Questões adicionais

Problemas com VMware

Informações Relacionadas

Introdução

Este documento descreve o problema encontrado quando o Cisco ISE e outros servidores baseados em Linux falham ao sincronizar com um servidor NTP instalado em um Microsoft Windows Server e uma solução para ele

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Configuração da CLI do Cisco Identity Services Engine (ISE)

- Conhecimento básico do Network Time Protocol (NTP)

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Microsoft Windows Server Versão 2012

- Software Cisco ISE versões 1.3 e posteriores

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Problema

Depois que você configura o CLI do ISE para usar o Microsoft Windows Server como NTP, ele não é sincronizado. A configuração do controlador de domínio padrão do Microsoft Windows Server 2012 é usada (configuração NTP padrão). O ISE relata que a origem local ainda é usada:

ise14/admin# show ntp

Configured NTP Servers:

10.62.145.72

synchronised to local net at stratum 11

time correct to within 11 ms

polling server every 1024 s

remote refid st t when poll reach delay offset jitter

==============================================================================

*127.127.1.0 .LOCL. 10 l 9 64 377 0.000 0.000 0.000

10.62.145.72 .LOCL. 1 u 226 1024 377 0.896 -3.998 4.130

* Current time source, + Candidate , x False ticker

Warning: Output results may conflict during periods of changing synchronization.

Todos os parâmetros (alcance, atraso, deslocamento e jitter) parecem estar corretos e não há como solucionar o problema da CLI (falha de sincronização do NTP). Para confirmação do problema, você deve navegar até o nível raiz e usar a ferramenta NTPQ para consultarntpd daemon para obter mais detalhes:

[root@ise14]# ntpq

ntpq> associations

ind assID status conf reach auth condition last_event cnt

===========================================================

1 53519 9614 yes yes none sys.peer reachable 1

2 53520 9014 yes yes none reject reachable 1

Como mostrado, há duas associações apresentadas. A associação 53520 está marcada como 'rejeitada'. Aqui estão alguns detalhes adicionais para essa associação:

ntpq> mrv 53520 53520

assID=53520 status=9014 reach, conf, 1 event, event_reach,

srcadr=10.62.145.72, srcport=123, dstadr=10.62.145.42, dstport=123,

leap=00, stratum=1, precision=-6, rootdelay=0.000,

rootdispersion=10032.150, refid=LOCL, reach=377, unreach=0, hmode=3,

pmode=4, hpoll=10, ppoll=10, flash=400 peer_dist, keyid=0, ttl=0,

offset=-32.465, delay=0.898, dispersion=30.345, jitter=4.519,

reftime=d96b0358.fe7c815a Tue, Aug 4 2015 11:24:40.994,

org=d96b08ed.829514cf Tue, Aug 4 2015 11:48:29.510,

rec=d96b08ed.8b022d8d Tue, Aug 4 2015 11:48:29.543,

xmt=d96b08ed.8ac74cca Tue, Aug 4 2015 11:48:29.542,

filtdelay= 0.90 1.20 0.95 0.93 0.87 0.89 1.19 0.93,

filtoffset= -32.47 -27.95 -26.50 -34.32 -27.74 -18.14 -22.54 -23.79,

filtdisp= 15.63 30.97 46.32 61.68 77.05 92.44 107.82 115.48

É possível confirmar que este é o servidor NTP configurado anteriormente (10.62.145.72) para o qual a sincronização falha. Além disso, o parâmetro de dispersão raiz é grande (acima de 10.000 ms). Use estas informações para confirmar este parâmetro do Microsoft Windows Server:

C:\Users\Administrator> w32tm /query /status

Leap Indicator: 0(no warning)

Stratum: 1 (primary reference - syncd by radio clock)

Precision: -6 (15.625ms per tick)

Root Delay: 0.0000000s

Root Dispersion: 10.0000000s

ReferenceId: 0x4C4F434C (source name: "LOCL")

Last Successful Sync Time: 04/08/2015 11:15:32

Source: Local CMOS Clock

Poll Interval: 6 (64s)

As capturas de pacote apresentam a solicitação enviada do ISE, com uma dispersão raiz aceitável de um segundo:

Esta é a resposta do servidor, que tem uma dispersão raiz maior que dez segundos:

Como resultado, isso não é aceito, o que faz com que o ISE descarte a solicitação e continue com a origem de tempo local.

A dispersão raiz é um número que indica o erro máximo relativo à fonte de referência primária na raiz da sub-rede de sincronização. Cada servidor NTP aumenta esse valor. Por padrão, o servidor da Microsoft define o valor para dez segundos somente quando sua própria origem de tempo local é usada (para indicar que não é uma origem de tempo confiável). Quando o servidor Microsoft NTP é configurado com um NTP externo, esse valor é derivado do servidor e o problema não existe.

Solução

De acordo com a documentação da Microsoft , é possível configurar o LocalRootDispersion no registro. Conclua estas etapas para configurar o valor do registro:

1. Pare o serviço NTP do PowerShell (opcionalmente, insira o comando net stop w32time ):

PS C:\Users\Administrator> Stop-Service w32time

2. Defina o valor do Registro como 0:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\LocalClockDispersion

3. Reinicie o serviço (opcionalmente, insira o comando net start w32time ):

PS C:\Users\Administrator> Start-Service w32time

4. Verifique se o novo valor (0) é relatado:

C:\Users\Administrator> w32tm /query /status

Leap Indicator: 0(no warning)

Stratum: 1 (primary reference - syncd by radio clock)

Precision: -6 (15.625ms per tick)

Root Delay: 0.0000000s

Root Dispersion: 0.0000000s

ReferenceId: 0x4C4F434C (source name: "LOCL")

Last Successful Sync Time: 04/08/2015 11:15:32

Source: Local CMOS Clock

Poll Interval: 6 (64s)

A ferramenta ISE NTPQ agora deve relatar um valor baixo (48 ms):

ntpq> mrv 53520 53520

assID=8400 status=9614 reach, conf, sel_sys.peer, 1 event, event_reach,

srcadr=10.62.145.72, srcport=123, dstadr=10.62.145.42, dstport=123,

leap=00, stratum=1, precision=-6, rootdelay=0.000,

rootdispersion=48.431, refid=LOCL, reach=377, unreach=0, hmode=3,

pmode=4, hpoll=7, ppoll=7, flash=00 ok, keyid=0, ttl=0, offset=8.206,

delay=0.514, dispersion=21.595, jitter=3.456,

reftime=d96b0c49.2c834d26 Tue, Aug 4 2015 12:02:49.173,

org=d96b175c.d472ead9 Tue, Aug 4 2015 12:50:04.829,

rec=d96b175c.d2bf9803 Tue, Aug 4 2015 12:50:04.823,

xmt=d96b175c.d284b95f Tue, Aug 4 2015 12:50:04.822,

filtdelay= 0.90 0.86 0.51 0.87 0.80 0.82 0.85 0.88,

filtoffset= 7.09 5.23 8.21 6.78 2.73 8.43 1.93 9.67,

filtdisp= 15.63 17.56 19.48 21.39 23.32 25.24 27.18 29.08

Isso permite que a sincronização ocorra como esperado:

ntpq> associations

ind assID status conf reach auth condition last_event cnt

===========================================================

1 53519 9014 yes yes none reject reachable 1

2 53520 9614 yes yes none sys.peer reachable 1

Você também pode verificar essas informações na CLI:

ise14/admin# show ntp

Configured NTP Servers:

10.62.145.72

synchronised to NTP server (10.62.145.72) at stratum 2

time correct to within 80 ms

polling server every 128 s

remote refid st t when poll reach delay offset jitter

==============================================================================

127.127.1.0 .LOCL. 10 l 15 64 377 0.000 0.000 0.000

*10.62.145.72 .LOCL. 1 u 26 128 377 0.514 8.206 3.456

* Current time source, + Candidate , x False ticker

Warning: Output results may conflict during periods of changing synchronization.

Questões adicionais

Algumas das versões mais antigas do Microsoft Windows Server podem ter configurações de NTP padrão diferentes. A Cisco recomenda que você verifique se essas configurações estão corretas e aceitáveis pelo ISE. Verifique estas configurações do Registro:

- Alterar o Enabled sinalize o valor como 1 para ativar o servidor NTP:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders

\NTPServer\Enabled

- Defina o Type entrada de registro para NTP para alterar o tipo de servidor:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\Type

- Defina o Announce Flags entrada de registro para 5 para indicar uma fonte de tempo confiável:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config

\AnnounceFlags

Problemas com VMware

Os problemas de sincronização de NTP podem ser causados pelo bug da VMware ID 2075424  (o host ESXi não sincroniza o horário com o servidor NTP).

O problema é resolvido nos seguintes patches:

- VMware ESXi 5.5 Atualização 1

- Patch 4 do VMware ESXi 5.1

- Patch 8 do VMware ESXi 5.0

Informações Relacionadas

- Guia do Administrador do Cisco Identity Services Engine, Versão 1.4

- Suporte Técnico e Documentação - Cisco Systems