本文档介绍ASA不与网络时间协议(NTP)服务器同步时间的原因、导致默认色散值超过一秒的原因,以及可以采取什么措施来解决此问题。
当NTP服务器发送的色散值超过一秒时,自适应安全设备(ASA)不与网络时间协议(NTP)服务器同步时间。这是用作NTP服务器时Microsoft Windows Server的默认色散值。此问题如何解决?
NTP: rcv packet from 172.23.226.161 to 172.23.246.71 on management:
leap 0, mode 4, version 3, stratum 2, ppoll 64
rtdel 0800 (31.250), rtdsp ae343 (10887.741), refid C6976401 (198.151.100.1)
ASA需要小于1000毫秒(一秒)的色散值,以便通过NTP同步其时钟。Windows Server报告的色散值太高,ASA无法同步,因此您必须调整Windows Server以满足此要求。在服务器上执行注册表更改时,可以执行此操作。有关详细信息,请参阅以下Microsoft文档:LocalClockDesportion Entry。
如果作为NTP服务器运行的Windows服务器不也是域控制器(DC),则可能需要将AnnounceFlags注册表设置更改为0x5(0x01 + 0x04)。 有关详细信息,请参阅以下Microsoft文档:
Config\AnnounceFlags条目。
Microsoft的实施与大多数NTP服务器的行为不同,并可能导致与前面描述的问题类似的问题。Microsoft Windows Server NTP实施发送的数据包的根色散值与某些其他NTP服务器相比异常大。此输出基于尝试同步到未经调整的Windows Server的ASA上的debug ntp数据包:
NTP: rcv packet from 172.16.1.3 to 172.16.1.1 on DMZ:
leap 0, mode 4, version 3, stratum 2, ppoll 64
rtdel 0800 (31.250), rtdsp 7dcc3 (7862.350), refid C6976401 (198.151.100.1)
ref ccd5ee4e.4cd51570 (22:23:58.300 EDT Mon Apr 24 2013)
org ccd5ee61.f71e22bd (22:24:17.965 EDT Mon Apr 24 2013)
rec ccd5ee61.f0ac1fae (22:24:17.940 EDT Mon Apr 24 2013)
xmt ccd5ee61.f0ac1fae (22:24:17.940 EDT Mon Apr 24 2013)
inp ccd5ee61.f8744957 (22:24:17.970 EDT Mon Apr 24 2013)
NTP: 172.16.1.3 reachable
所关心的价值是:rtdsp 7dcc3(7862.350)。 色散指示相对于其参考源的错误(以毫秒为单位)。 如果数据包中的根色散值大于1,000,ASA对NTP的实施会声明时间源无效。
这是从NTP服务器接收的不发出问题同步的响应的调试输出。请注意根色散要低得多。
NTP: rcv packet from 172.18.108.15 to 172.18.254.61 on outside:
leap 0, mode 4, version 3, stratum 1, ppoll 64
rtdel 0000 (0.000), rtdsp 000f (0.229), refid C6976401 (198.151.100.1)
ref ccd5fc03.000becc0 (23:22:27.000 EDT Mon Apr 24 2013)
org ccd5fc09.7705ecf8 (23:22:33.464 EDT Mon Apr 24 2013)
rec ccd5fc09.778d15a1 (23:22:33.466 EDT Mon Apr 24 2013)
xmt ccd5fc09.778e1e93 (23:22:33.467 EDT Mon Apr 24 2013)
inp ccd5fc09.778eb534 (23:22:33.467 EDT Mon Apr 24 2013)
如果根据前面引用的Microsoft文章更改服务器的注册表,则会将根色散值降至可接受级别,但前提是本地时钟用作时间参考。 将LocalClockDispersion设置为“0”以显着减少根色散。
以下是更改注册表值后Windows Server NTP响应的另一个数据包调试:
NTP: rcv packet from 172.16.1.3 to 172.16.1.1 on DMZ:
leap 0, mode 4, version 3, stratum 1, ppoll 128
rtdel 0000 (0.000), rtdsp 0ede (58.075), refid C6976401 (198.151.100.1)
ref ccd60291.af53f7ce (23:50:25.684 EDT Mon Apr 24 2013)
org ccd610e5.efecb657 (00:51:33.937 EDT Tue Apr 25 2013)
rec ccd610e5.ff333333 (00:51:33.996 EDT Tue Apr 25 2013)
xmt ccd610e5.ff333333 (00:51:33.996 EDT Tue Apr 25 2013)
inp ccd610e5.f07b651d (00:51:33.939 EDT Tue Apr 25 2013)
高于第1层的根色散值仍会发送并记录在第二个输出中,但小于1,000,并被ASA接受。
版本 | 发布日期 | 备注 |
---|---|---|
1.0 |
19-Aug-2014 |
初始版本 |