¿Qué es el NTP?

El Protocolo de Tiempo de Red (NTP) es un protocolo de red que sincroniza los relojes de los ordenadores y dispositivos a través de una red con una precisión de milisegundos respecto al Tiempo Universal Coordinado (UTC). Sirve de base para la correlación de registros, la validación de certificados y la autenticación en sistemas distribuidos, incluidos todos los nodos de una implementación de Versa Director, Analytics y VOS.

Puntos clave

• El protocolo NTP mantiene los relojes de una red sincronizados con una precisión de milisegundos respecto al UTC.
• El NTP moderno utiliza una jerarquía de estratos y puede autenticar servidores mediante claves.
• Versa Los nodos «Director» y «Analytics» utilizan Chrony como servicio NTP desde la versión 23.1.1.
• Los dispositivos VOS pueden sincronizarse a través de NTP, configurarse manualmente o actuar como servidor NTP.
• La sincronización precisa de la hora garantiza la validez de los registros, los certificados y los tokens de SSO en toda la implementación.

En esta página: Por qué es importante · Cómo funciona · Tipos · NTP y Versa · Preguntas frecuentes

¿Por qué es importante el NTP?

Los sistemas distribuidos solo tienen sentido si sus relojes están sincronizados. Cuando un nodo Director, un clúster de Analytics y docenas de dispositivos VOS registran eventos, los equipos de seguridad necesitan que esas marcas de tiempo coincidan para poder reconstruir un incidente en toda la red; unos pocos segundos de desviación del reloj pueden convertir una correlación sencilla en un juego de adivinanzas. El NTP es lo que mantiene intacta esa sincronización, ajustando continuamente todos los relojes de una implementación para que coincidan con la misma hora de referencia.

La precisión horaria también es un requisito de seguridad, no solo una cuestión de comodidad operativa. La validación de certificados TLS comprueba las fechas de emisión y caducidad con respecto al reloj local, por lo que un dispositivo con una hora desajustada puede rechazar certificados válidos o aceptar otros caducados. Los protocolos de autenticación que se basan en tokens de duración limitada —tickets de Kerberos, aserciones de SSO, códigos de un solo uso— fallan cuando los relojes se desvían más allá de su margen de tolerancia. Dado que el NTP está presente en muchas de estas funciones sin aparecer nunca en la interfaz de usuario, es fácil pasarlo por alto hasta que algo falla; una fuente NTP obsoleta o inaccesible es una causa habitual de fallos de autenticación y registro difíciles de diagnosticar.

¿Qué es el NTP?

El NTP funciona a través del puerto UDP 123. Un cliente envía una solicitud a un servidor de tiempo, el servidor la marca con la lectura de su propio reloj y el cliente utiliza el retraso de ida y vuelta y la desviación indicada para calcular cuánto se ha desviado su propio reloj. En lugar de adelantar o atrasar el reloj de forma brusca —lo que puede romper los supuestos de orden temporal en los procesos en ejecución—, el NTP normalmente lo ajusta gradualmente, realizando pequeños ajustes continuos hasta que los dos relojes convergen.

Los servidores se organizan en una jerarquía de estratos. Los dispositivos de estrato 0 son relojes de referencia —receptores GPS, relojes atómicos— a los que nunca se consulta directamente. Los servidores de estrato 1 se conectan directamente a una fuente de estrato 0; los servidores de estrato 2 se sincronizan a partir del estrato 1, y así sucesivamente, con una precisión que se reduce ligeramente en cada salto. Para evitar que un servidor malicioso o falsificado proporcione una hora errónea a la red, NTP admite claves de autenticación —históricamente MD5, y ahora SHA-1 y la familia SHA-2— que tanto el cliente como el servidor poseen y utilizan para firmar sus intercambios.

Tipos de NTP

El NTP define varios modos de asociación distintos. El modo cliente-servidor (unidifusión) es el caso más habitual: un cliente consulta directamente a uno o varios servidores y aplica sus respuestas. El modo simétrico activo/pasivo permite que dos pares, normalmente los propios servidores, intercambien la hora de forma bidireccional, de modo que cualquiera de ellos pueda corregir al otro. En el modo de difusión/multidifusión, un servidor anuncia la hora a toda una subred sin necesidad de consultas individuales, sacrificando algo de precisión a cambio de mayor escalabilidad.

Siguen utilizándose dos versiones del protocolo. NTPv3, definido en el RFC 1305, es la especificación más antigua; NTPv4, definido en el RFC 5905, es la versión actual y sigue siendo compatible a nivel de red con los clientes de la versión 3. Un subconjunto ligero, el SNTP (Simple NTP), prescinde de los algoritmos de filtrado estadístico y de selección de pares que utiliza el NTP completo, sacrificando precisión a cambio de una implementación más sencilla, adecuada para dispositivos integrados que no necesitan una precisión de milisegundos.

El demonio que se encarga de sincronizar el reloj también es importante. Las instalaciones más antiguas utilizan ntpd; las más recientes utilizan cada vez más Chrony, que converge más rápido tras un reinicio, gestiona mejor la conectividad de red intermitente y es compatible con los nuevos tipos de autenticación SHA-2.

NTP y Versa

Cada parte de una implementación de Versa depende de la sincronización horaria, y cada componente configura NTP de forma ligeramente diferente. En un Nodo director, los administradores añaden servidores NTP en «Administración > Sistema > NTP > Servidor», y pueden adjuntar opcionalmente una clave de autenticación creada en «Sistema > NTP > Clave NTP – MD5 y SHA-1» a partir de la versión 22.1.4, a la que se añadieron SHA-256, SHA-384 y SHA-512 en la versión 23.1.1. A partir de la versión 23.1.1, Funciones del director a nivel de todo el sistema ejecutar NTP a través de Chrony en lugar del demonio ntpd heredado, con chronyc sources, chronyc tracking, y chronyc ntpdata disponible para diagnosticar problemas de sincronización y autenticación.

Particular Dispositivos VOS se configuran a través de Configuración de la hora En la vista «Director’s Appliance», donde el administrador puede elegir entre NTP o la sincronización manual, añadir servidores NTP con la función iburst activada para acelerar la sincronización inicial y —a partir de la versión de servicio de diciembre de 2024 de la versión 22.1.4— configurar el propio dispositivo para que actúe como servidor NTP. Clústeres de análisis requiere NTP como parte de configuración inicial del software: cada nodo enumera sus servidores NTP en clustersetup.conf, ya que la replicación de la base de datos entre nodos depende de que los relojes estén sincronizados.

Preguntas frecuentes

¿Qué puerto utiliza el NTP?

El protocolo NTP funciona a través del puerto UDP 123. Un cliente envía una solicitud de sincronización a un servidor a través de ese puerto, y el servidor responde con su propia marca de tiempo; los cortafuegos situados entre un dispositivo y sus servidores NTP configurados deben permitir el tráfico UDP 123 en ambas direcciones para que la sincronización se realice correctamente.

¿Cuál es la diferencia entre NTP y SNTP?

El NTP aplica un filtrado estadístico a través de múltiples servidores y pares para seleccionar la fuente de tiempo más fiable y estimar los límites de error; el SNTP es un cliente simplificado que se basa directamente en la respuesta de un único servidor. El SNTP es adecuado para dispositivos de bajo consumo o integrados que no necesitan toda la precisión del NTP.

¿Qué es un estrato en el NTP?

Un estrato es la distancia, expresada en saltos, que separa a un servidor de un reloj de referencia de estrato 0, como un GPS o un reloj atómico. Los servidores de estrato 1 se conectan directamente a un reloj de referencia; los de estrato 2 se sincronizan a partir de los de estrato 1, y así sucesivamente, con una precisión que disminuye ligeramente con cada salto adicional.

¿Por qué pasó Versa de ntpd a Chrony?

A partir de la versión 23.1.1, los nodos Director y Analytics de « Versa » ejecutan Chrony en lugar del antiguo demonio ntpd. Chrony alcanza la hora exacta más rápidamente tras un reinicio, gestiona mejor las conexiones de red poco fiables o intermitentes y añade compatibilidad con los algoritmos de autenticación SHA-2, al tiempo que sigue siendo interoperable con los servidores NTP remotos estándar.

¿Puede un dispositivo VOS actuar como su propio servidor NTP?

Sí. A partir de la versión de servicio de diciembre de 2024 de la versión 22.1.4, un dispositivo VOS puede configurarse, en la sección «Ajustes de hora», para proporcionar servicio NTP a otros clientes, especificando una red de origen, una interfaz de origen y una descripción, además de actuar como un cliente NTP normal para su propio reloj.

Más información sobre el NTP

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el NTP, te conviene echar un vistazo a lo siguiente.