Qu'est-ce que le NTP ?

Le protocole NTP (Network Time Protocol) est un protocole réseau qui synchronise les horloges des ordinateurs et des périphériques sur un réseau à quelques millisecondes près par rapport au temps universel coordonné (UTC). Il est à la base de la corrélation des journaux, de la validation des certificats et de l'authentification au sein des systèmes distribués, y compris chaque nœud d'un déploiement d'Versa , Director, Analytics et VOS.

Points clés à retenir

• Le protocole NTP assure la synchronisation des horloges d'un réseau à la milliseconde près par rapport à l'UTC.
• Le protocole NTP moderne utilise une hiérarchie de strates et permet d'authentifier les serveurs à l'aide de clés.
• Versa Les nœuds « Director » et « Analytics » utilisent Chrony comme service NTP depuis la version 23.1.1.
• Les appareils VOS peuvent se synchroniser via NTP, être réglés manuellement ou faire office de serveur NTP.
• La synchronisation précise de l'heure garantit la validité des journaux, des certificats et des jetons SSO dans l'ensemble d'un déploiement.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · NTP et Versa · FAQ

Pourquoi le protocole NTP est-il important ?

Les systèmes distribués n’ont de sens que si leurs horloges sont synchronisées. Lorsqu’un nœud Director, un cluster Analytics et des dizaines de périphériques VOS enregistrent tous des événements, les équipes de sécurité ont besoin que ces horodatages soient alignés afin de pouvoir reconstituer un incident à l’échelle de l’infrastructure : un décalage de quelques secondes entre les horloges peut transformer une corrélation simple en un véritable jeu de devinettes. C’est le protocole NTP qui garantit cette synchronisation, en ajustant en permanence chaque horloge d’un déploiement pour qu’elle corresponde au même temps de référence.

La précision de l’heure est également un facteur de sécurité, et pas seulement une commodité opérationnelle. La validation des certificats TLS vérifie les dates d’émission et d’expiration par rapport à l’horloge locale ; ainsi, un appareil dont l’heure est décalée peut rejeter des certificats valides ou accepter des certificats périmés. Les protocoles d’authentification qui reposent sur des jetons à durée limitée – tickets Kerberos, assertions SSO, codes à usage unique – échouent dès que les horloges dépassent leur marge de tolérance. Comme le protocole NTP sous-tend bon nombre de ces fonctions sans jamais apparaître dans l’interface utilisateur, il est facile de le négliger jusqu’à ce qu’un problème survienne ; une source NTP obsolète ou inaccessible est souvent à l’origine d’échecs d’authentification et de connexion difficiles à diagnostiquer.

Qu'est-ce que le NTP ?

Le protocole NTP fonctionne sur le port UDP 123. Un client envoie une requête à un serveur de temps ; celui-ci y appose l'heure indiquée par sa propre horloge, puis le client utilise le délai aller-retour et le décalage signalé pour calculer l'écart accumulé par sa propre horloge. Plutôt que de faire avancer ou reculer l'horloge de manière brusque – ce qui pourrait remettre en cause les hypothèses d'ordre chronologique des processus en cours d'exécution –, le protocole NTP procède généralement à un ajustement progressif, en effectuant de petits réglages continus jusqu'à ce que les deux horloges convergent.

Les serveurs sont organisés selon une hiérarchie de strates. Les dispositifs de strate 0 sont des horloges de référence – récepteurs GPS, horloges atomiques – qui ne sont jamais interrogées directement. Les serveurs de strate 1 sont directement connectés à une source de strate 0 ; les serveurs de strate 2 se synchronisent à partir de la strate 1, et ainsi de suite, la précision diminuant légèrement à chaque saut. Pour empêcher un serveur malveillant ou usurpé de transmettre une heure erronée au réseau, le protocole NTP prend en charge des clés d’authentification – historiquement MD5, et désormais SHA-1 et la famille SHA-2 – que le client et le serveur détiennent tous deux et utilisent pour signer leurs échanges.

Types de NTP

Le protocole NTP définit plusieurs modes de synchronisation distincts. Le mode client-serveur (unicast) est le cas le plus courant : un client interroge directement un ou plusieurs serveurs et applique leurs réponses. Le mode symétrique actif/passif permet à deux pairs, généralement des serveurs eux-mêmes, d'échanger l'heure de manière bidirectionnelle afin que chacun puisse corriger l'autre. Dans le mode diffusion/multidiffusion, un serveur diffuse l'heure à l'ensemble d'un sous-réseau sans interrogation individuelle, sacrifiant ainsi une partie de la précision au profit de l'évolutivité.

Deux versions du protocole sont encore utilisées. NTPv3, défini dans la RFC 1305, est l'ancienne spécification ; NTPv4, défini dans la RFC 5905, est la version actuelle et reste compatible au niveau de la transmission avec les clients v3. Un sous-ensemble allégé, le SNTP (Simple NTP), supprime les algorithmes de filtrage statistique et de sélection des pairs utilisés par le NTP complet, sacrifiant la précision au profit d’une implémentation plus simple adaptée aux appareils embarqués qui n’ont pas besoin d’une précision à la milliseconde près.

Le démon chargé de synchroniser l'horloge joue également un rôle important. Les déploiements plus anciens utilisent ntpd; les plus récents ont de plus en plus souvent recours à Chrony, qui converge plus rapidement après un redémarrage, gère mieux les coupures de connexion réseau et prend en charge les nouveaux types d'authentification SHA-2.

NTP & Versa

Chaque élément d'un déploiement « Versa » repose sur la synchronisation de l'heure, et chaque composant configure NTP de manière légèrement différente. Sur un Nœud « Director », les administrateurs ajoutent des serveurs NTP dans Administration > Système > NTP > Serveur, en associant éventuellement une clé d'authentification créée dans Système > NTP > Clé NTP – MD5 et SHA-1 à partir de la version 22.1.4, les algorithmes SHA-256, SHA-384 et SHA-512 ayant été ajoutés dans la version 23.1.1. À partir de la version 23.1.1, Fonctions du directeur à l'échelle du système exécuter NTP via Chrony à la place de l'ancien démon ntpd, avec chronyc sources, chronyc tracking, et chronyc ntpdata disponible pour le diagnostic des problèmes de synchronisation et d'authentification.

Particulier Appareils VOS sont configurés via Paramètres de l'heure Dans la vue « Director’s Appliance », où un administrateur peut choisir entre la synchronisation NTP et la synchronisation manuelle, ajouter des serveurs NTP avec la fonction iburst activée pour une synchronisation initiale plus rapide et – à partir de la version de service de décembre 2024 (version 22.1.4) – configurer le périphérique lui-même pour qu’il fasse office de serveur NTP. Clusters d'analyse exiger l'utilisation de NTP dans le cadre de configuration initiale du logiciel: chaque nœud répertorie ses serveurs NTP dans clustersetup.conf, car la réplication de la base de données d'un nœud à l'autre repose sur la synchronisation des horloges.

Questions fréquentes

Quel port le protocole NTP utilise-t-il ?

Le protocole NTP fonctionne sur le port UDP 123. Un client envoie une requête de synchronisation à un serveur sur ce port, et le serveur répond en indiquant son propre horodatage ; les pare-feu situés entre un appareil et ses serveurs NTP configurés doivent autoriser le trafic UDP sur le port 123 dans les deux sens pour que la synchronisation puisse aboutir.

Quelle est la différence entre le NTP et le SNTP ?

Le protocole NTP applique un filtrage statistique sur plusieurs serveurs et pairs afin de sélectionner la source de temps la plus fiable et d'estimer les marges d'erreur ; le protocole SNTP est un client simplifié qui se fie directement à la réponse d'un seul serveur. Le protocole SNTP convient aux appareils à faible consommation d'énergie ou embarqués qui n'ont pas besoin de la précision totale offerte par le protocole NTP.

Qu'est-ce qu'un « stratum » dans le protocole NTP ?

Un « stratum » correspond à la distance, exprimée en sauts, qui sépare un serveur d’une horloge de référence de stratum 0, telle qu’un GPS ou une horloge atomique. Les serveurs de stratum 1 sont directement reliés à une horloge de référence ; les serveurs de stratum 2 se synchronisent à partir d’un serveur de stratum 1, et ainsi de suite, la précision diminuant légèrement à chaque saut supplémentaire.

Pourquoi Versa est-il passé de NTPD à Chrony ?

À partir de la version 23.1.1, les nœuds Director et Analytics d’ Versa utilisent Chrony à la place de l’ancien démon ntpd. Chrony atteint plus rapidement l’heure exacte après un redémarrage, gère mieux les connexions réseau peu fiables ou intermittentes et prend en charge les algorithmes d’authentification SHA-2, tout en restant interopérable avec les serveurs NTP distants standard.

Un appareil VOS peut-il faire office de serveur NTP ?

Oui. À partir de la mise à jour de service de décembre 2024 de la version 22.1.4, un périphérique VOS peut être configuré, dans les paramètres de temps, pour fournir le protocole NTP à d’autres clients – en spécifiant un réseau source, une interface source et une description –, tout en continuant à fonctionner comme un client NTP classique pour sa propre horloge.

En savoir plus sur le NTP

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au protocole NTP, voici quelques liens qui pourraient vous intéresser.