Was ist NTP?

Das Network Time Protocol (NTP) ist ein Netzwerkprotokoll, das die Uhren von Computern und Geräten über ein Netzwerk auf Millisekunden genau mit der koordinierten Weltzeit (UTC) synchronisiert. Es bildet die Grundlage für die Protokollkorrelation, die Zertifikatsvalidierung und die Authentifizierung in verteilten Systemen – einschließlich aller Knoten in einer „ Versa “-Bereitstellung mit Director, Analytics und VOS.

Die wichtigsten Erkenntnisse

• NTP sorgt dafür, dass die Uhren in einem Netzwerk auf die Millisekunde genau mit der UTC synchronisiert bleiben.
• Das moderne NTP nutzt eine Stratum-Hierarchie und kann Server mithilfe von Schlüsseln authentifizieren.
• Versa Director- und Analytics-Knoten verwenden seit Version 23.1.1 Chrony als NTP-Dienst.
• VOS-Geräte können sich über NTP synchronisieren, manuell eingestellt werden oder als NTP-Server fungieren.
• Eine genaue Zeitangabe sorgt dafür, dass Protokolle, Zertifikate und SSO-Token während der gesamten Bereitstellung gültig bleiben.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · NTP & Versa · Häufig gestellte Fragen

Warum ist NTP wichtig?

Verteilte Systeme sind nur dann sinnvoll, wenn ihre Uhren synchron sind. Wenn ein Director-Knoten, ein Analytics-Cluster und Dutzende von VOS-Geräten Ereignisse protokollieren, müssen diese Zeitstempel für die Sicherheitsteams übereinstimmen, damit sie einen Vorfall über die gesamte Infrastruktur hinweg rekonstruieren können – schon eine Zeitabweichung von wenigen Sekunden kann eine einfache Korrelation in ein Ratespiel verwandeln. NTP sorgt dafür, dass diese Synchronisation erhalten bleibt, indem es jede Uhr in einer Bereitstellung kontinuierlich auf die gleiche Referenzzeit abstimmt.

Die Zeitgenauigkeit ist nicht nur eine Frage der Benutzerfreundlichkeit, sondern auch eine Sicherheitsanforderung. Bei der Validierung von TLS-Zertifikaten werden Ausstellungs- und Ablaufdaten anhand der lokalen Uhrzeit überprüft, sodass ein Gerät mit einer Zeitabweichung gültige Zertifikate ablehnen oder abgelaufene akzeptieren kann. Authentifizierungsprotokolle, die auf zeitlich begrenzte Tokens beruhen – Kerberos-Tickets, SSO-Assertions, Einmalcodes – versagen, sobald die Uhren ihr Toleranzfenster überschreiten. Da NTP vielen dieser Funktionen zugrunde liegt, ohne jemals in der Benutzeroberfläche zu erscheinen, wird es leicht übersehen, bis etwas nicht mehr funktioniert; eine veraltete oder nicht erreichbare NTP-Quelle ist eine häufige Ursache für schwer zu diagnostizierende Authentifizierungs- und Protokollierungsfehler.

Was ist NTP?

NTP läuft über den UDP-Port 123. Ein Client sendet eine Anfrage an einen Zeitserver, der Server versieht diese mit seinem eigenen Zeitstempel, und der Client berechnet anhand der Round-Trip-Verzögerung und des gemeldeten Offsets, um wie viel seine eigene Uhr abgewichen ist. Anstatt die Uhr abrupt vor- oder zurückzustellen – was die Annahmen zur zeitlichen Reihenfolge in laufenden Prozessen zunichte machen könnte –, nimmt NTP in der Regel eine sanfte Anpassung vor und führt kleine, kontinuierliche Korrekturen durch, bis die beiden Uhren übereinstimmen.

Server sind in einer Stratum-Hierarchie organisiert. Stratum-0-Geräte sind Referenzuhren – GPS-Empfänger, Atomuhren –, die niemals direkt abgefragt werden. Stratum-1-Server sind direkt mit einer Stratum-0-Quelle verbunden; Stratum-2-Server synchronisieren sich mit Stratum-1-Servern und so weiter, wobei die Genauigkeit bei jedem Schritt leicht abnimmt. Um zu verhindern, dass ein böswilliger oder gefälschter Server dem Netzwerk falsche Zeitangaben liefert, unterstützt NTP Authentifizierungsschlüssel – früher MD5, heute SHA-1 und die SHA-2-Familie –, die sowohl Client als auch Server besitzen und zur Signierung ihres Datenaustauschs verwenden.

Arten von NTP

NTP definiert mehrere unterschiedliche Verbindungsmodi. Der Client-Server-Modus (Unicast) ist der häufigste Fall: Ein Client fragt einen oder mehrere Server direkt ab und wendet deren Antworten an. Im symmetrischen Aktiv-/Passiv-Modus tauschen zwei Peers – in der Regel Server untereinander – Zeitdaten bidirektional aus, sodass jeder den anderen korrigieren kann. Im Broadcast-/Multicast-Modus sendet ein Server die Zeit an ein gesamtes Subnetz, ohne einzelne Abfragen durchzuführen, wobei zugunsten der Skalierbarkeit gewisse Genauigkeitseinbußen in Kauf genommen werden.

Zwei Protokollversionen sind nach wie vor im Einsatz. NTPv3, definiert in RFC 1305, ist die ältere Spezifikation; NTPv4, definiert in RFC 5905, ist die aktuelle Version und bleibt mit v3-Clients kompatibel. Eine vereinfachte Variante, SNTP (Simple NTP), verzichtet auf die statistischen Filter- und Peer-Auswahlalgorithmen, die das vollständige NTP verwendet, und tauscht Präzision gegen eine einfachere Implementierung ein, die für eingebettete Geräte geeignet ist, die keine Millisekundengenauigkeit benötigen.

Auch der Daemon, der die Uhr tatsächlich synchronisiert, spielt eine Rolle. In älteren Installationen wird ntpd verwendet; in neueren Installationen kommt zunehmend Chrony zum Einsatz, das nach einem Neustart schneller konvergiert, besser mit zeitweiligen Netzwerkunterbrechungen umgeht und die neueren SHA-2-Authentifizierungstypen unterstützt.

NTP & Versa

Jeder Teil einer „ Versa “-Bereitstellung ist auf eine synchronisierte Zeit angewiesen, und jede Komponente konfiguriert NTP auf etwas andere Weise. Auf einem Direktor-Knoten, fügen Administratoren NTP-Server unter „Administration > System > NTP > Server“ hinzu und fügen optional einen Authentifizierungsschlüssel hinzu, der unter „System > NTP > NTP-Schlüssel – MD5 und SHA-1“ ab Release 22.1.4 erstellt wurde; SHA-256, SHA-384 und SHA-512 wurden in Release 23.1.1 hinzugefügt. Ab Release 23.1.1 Systemweite Aufgaben des Direktors NTP über … ausführen Chrony anstelle des veralteten ntpd-Daemons, mit chronyc sources, chronyc tracking, und chronyc ntpdata zur Diagnose von Synchronisierungs- und Authentifizierungsproblemen verfügbar.

Einzelperson VOS-Geräte werden über Zeiteinstellungen In der „Director’s Appliance“-Ansicht, in der ein Administrator zwischen NTP und manueller Zeiteinstellung wählen kann, fügt er NTP-Server hinzu, bei denen „iburst“ für eine schnellere Erstsynchronisierung aktiviert ist, und kann – ab dem Service-Release vom Dezember 2024 (Version 22.1.4) – das Gerät selbst so konfigurieren, dass es als NTP-Server fungiert. Analytics-Cluster NTP als Teil von Erstkonfiguration der Software: Jeder Knoten listet seine NTP-Server in clustersetup.conf, da die Datenbankreplikation zwischen den Knoten davon abhängt, dass die Uhren synchronisiert bleiben.

Häufig gestellte Fragen

Welchen Port nutzt NTP?

NTP läuft über den UDP-Port 123. Ein Client sendet eine Zeitabfrage an einen Server über diesen Port, und der Server antwortet mit seinem eigenen Zeitstempel; Firewalls zwischen einem Gerät und den konfigurierten NTP-Servern müssen den Datenverkehr über UDP-Port 123 in beide Richtungen zulassen, damit die Synchronisation erfolgreich durchgeführt werden kann.

Was ist der Unterschied zwischen NTP und SNTP?

NTP wendet statistische Filterung über mehrere Server und Peers hinweg an, um die zuverlässigste Zeitquelle auszuwählen und Fehlergrenzen zu schätzen; SNTP ist ein vereinfachter Client, der sich direkt auf die Antwort eines einzelnen Servers verlässt. SNTP eignet sich für Geräte mit geringem Stromverbrauch oder eingebettete Geräte, die nicht die volle Präzision von NTP benötigen.

Was ist ein Stratum im NTP?

Ein Stratum bezeichnet die Entfernung eines Servers in Hops zu einer Referenzuhr des Stratum 0, wie beispielsweise einem GPS oder einer Atomuhr. Stratum-1-Server sind direkt an eine Referenzuhr angeschlossen; Stratum-2-Server synchronisieren sich über Stratum 1 und so weiter, wobei die Genauigkeit mit jedem weiteren Hop leicht abnimmt.

Warum ist Versa von NTPD zu Chrony gewechselt?

Ab Release 23.1.1 verwenden die Director- und Analytics-Knoten von „ Versa “ Chrony anstelle des bisherigen ntpd-Daemons. Chrony erreicht nach einem Neustart schneller die genaue Zeit, geht besser mit unzuverlässigen oder zeitweise unterbrochenen Netzwerkverbindungen um und bietet Unterstützung für SHA-2-Authentifizierungsalgorithmen, während die Interoperabilität mit standardmäßigen Remote-NTP-Servern erhalten bleibt.

Kann ein VOS-Gerät als eigener NTP-Server fungieren?

Ja. Ab dem Service-Release 22.1.4 vom Dezember 2024 kann ein VOS-Gerät unter „Zeiteinstellungen“ so konfiguriert werden, dass es NTP-Dienste für andere Clients bereitstellt – wobei neben der Funktion als gewöhnlicher NTP-Client für die eigene Uhr auch ein Quellnetzwerk, eine Quellschnittstelle und eine Beschreibung angegeben werden müssen.

Mehr zum Thema NTP

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über NTP informieren, sollten Sie sich als Nächstes diese Artikel ansehen.