centos ntp iptables，centos8和9的区别
各位老铁们好，相信很多人对centos ntp iptables都不是特别的了解，因此呢，今天就来为大家分享下关于centos ntp iptables以及centos8和9的区别的问题知识，还望可以帮助大家，解决大家的一些困惑，下面一起来看看吧！
如何在 CentOS 中搭建 NTP 服务器
备 CentOS服务器
现在让我们来开始在 CentOS上设置 NTP服务器。
首先，我们需要保证正确设置了服务器的时区。在 CentOS 7中，我们可以使用 timedatectl命令查看和更改服务器的时区(比如，"Australia/Adelaide"，LCTT译注：中国可设置为 Asia/Shanghai)
# timedatectl list-timezones| grep Australia
# timedatectl set-timezone Australia/Adelaide
# timedatectl
继续并使用 yum安装需要的软件
# yum install ntp
然后我们会添加全球 NTP服务器用于同步时间。
# vim/etc/ntp.conf
server 0.oceania.pool.ntp.org
server 1.oceania.pool.ntp.org
server 2.oceania.pool.ntp.org
server 3.oceania.pool.ntp.org
默认情况下，NTP服务器的日志保存在/var/log/messages。如果你希望使用自定义的日志文件，那也可以指定。
logfile/var/log/ntpd.log
如果你选择自定义日志文件，确保更改了它的属主和 SELinux环境。
# chown ntp:ntp/var/log/ntpd.log
# chcon-t ntpd_log_t/var/log/ntpd.log
现在初始化 NTP服务并确保把它添加到了开机启动。
# systemctl restart ntp
# systemctl enable ntp
验证 NTP Server时钟
我们可以使用 ntpq命令来检查本地服务器的时钟如何通过 NTP同步。
控制到 NTP服务器的访问
默认情况下，NTP服务器允许来自所有主机的查询。如果你想过滤进来的 NTP同步连接，你可以在你的防火墙中添加规则过滤流量。
# iptables-A INPUT-s 192.168.1.0/24-p udp--dport 123-j ACCEPT
# iptables-A INPUT-p udp--dport 123-j DROP
该规则允许从 192.168.1.0/24来的 NTP流量(端口 UDP/123)，任何其它网络的流量会被丢弃。你可以根据需要更改规则。
配置 NTP客户端
1. Linux
NTP客户端主机需要 ntpupdate软件包来和服务器同步时间。可以轻松地使用 yum或 apt-get安装这个软件包。安装完软件包之后，用服务器的 IP地址运行下面的命令。
# ntpdate<server-IP-address>
基于 RHEL和 Debian的系统命令都相同。
2. Windows
如果你正在使用 Windows，在日期和时间设置(Date and Time settings)下查找网络时间(Internet Time)。
3. Cisco设备
如果你想要同步 Cisco设备的时间，你可以在全局配置模式下使用下面的命令。
# ntp server<server-IP-address>
来自其它厂家的支持 NTP的设备有自己的用于网络时间的参数。如果你想将设备和 NTP服务器同步时间，请查看设备的说明文档。
结论
总而言之，NTP是在你的所有主机上同步时钟的一个协议。我们已经介绍了如何设置 NTP服务器并使支持 NTP的设备和服务器同步时间。
如何在 CentOS 中设置 NTP 服务器
背景
当服务器多了，时间准确与否，一致与否是个大问题。虽然这个问题总是被忽略，但是统一一致的时间是很有必要的。下面说一下在局域网内配置Linux时间服务器的方法。
配置的环境及要求：
1.假设在192.168.0.0网段内，要以IP为192.168.0.240的Linux机器时间服务器。
2.192.168.0.240服务器能上外网，能与比较权威的公网时间服务器同步
3.同网段内的其他机器每小时自动向192.168.0.240同步时间
一、安装
yum-yinstallntpntpdate
二、配置
2.1.NTP server的主配置文件为/etc/ntp.conf现对/etc/ntp.conf的各项进行说明
cp/etc/ntp.conf/etc/ntp.conf.bak
vim/etc/ntp.conf
2.
vi/etc/ntp.conf
（以下是ntp.conf文件的内容）
#设置此服务器同上层服务器做时间同步的IP地址,prefer意味着首选IP地址
#经试验，下面的几个时间服务器速度还不错(默认配置即可)
server 210.72.145.44 prefer
server 218.21.130.42
server 0.asia.pool.ntp.org
server 1.asia.pool.ntp.org
server 2.asia.pool.ntp.org
#记录上次的NTP server与上层NTP server联接所花费的时间
driftfile/etc/ntp/drift
#设置默认策略为允许任何主机进行时间同步
restrict default ignore
#设置允许访问此时间服务器的时间服务的IP地址
#根据自己实际情况配置
restrict 127.0.0.1
restrict 192.168.10.2#指定某台机器时间同步
restrict 192.168.0.0 mask 255.255.255.0#允许192.168.0.0/254子网内主机时间同步
restrict 0.0.0.0 mask 0.0.0.0 nomodify notrap#允许任何主机跟进行时间同步
#指定阶层编号为10，降低其优先度。
fudge 127.127.1.1 stratum 10
#设置ntp日志的path
statsdir/var/log/ntp/
#设置ntp日志文件
logfile/var/log/ntp/ntp.log
三、维护
----添加为服务
chkconfig--level345ntpdon
----启动
servicentpdstart
或
/etc/rc.d/init.d/ntpdstart
----停止
servicentpdstop
或
/etc/rc.d/init.d/ntpdstop
----管理命令
ntpq–p
#查看本机和上层服务器的时间同步结果
ntptrace
#可以用来追踪某台时间服务器的时间对应关系
ntpdateIP
#客户端要和NTP server进行时钟同步。
/var/log/ntp/ntp.log
#查看ntp日志
----------------------------------
开启防火墙端口
iptables-AINPUT-pudp-dport123-jACCEPT
/etc/init.d/iptablessave
serviceiptablesrestart
四、配置客户端
测试同步：
ntpdate ip地址
设置自动同步：
echo“00*/1***root/usr/sbin/ntpdate192.168.0.240;/sbin/hwclock-w”>>/etc/crontab
每小时同NTP server进行一次时钟同步，并写入本机BIOS
如何在linux 上配置NTP 时间同步
一：NTP是网络时间同步协议，就是用来同步网络中各个计算机的时间的协议。
二：NTP服务端配置
2.1、检查系统是否安装了NTP包（linux系统一般自带NTP4.2），没有安装我们直接使用yum命令在线安装： yum install ntp
2.2、NTP服务端配置文件编辑： vim/etc/ntp.conf
结果:
#@3新增-权限配置restrict 127.127.1.0restrict 192.168.31.0 mask 255.255.255.0 nomodify notrap#@3改动-注释掉上级时间服务器地址#server 0.centos.pool.ntp.org iburst#server 1.centos.pool.ntp.org iburst#server 2.centos.pool.ntp.org iburst#server 3.centos.pool.ntp.org iburst#@4新增-上级时间服务器server 127.127.1.0# local clockfudge 127.127.1.0 stratum 10
2.3、启动NTP时间服务器：service ntpd start
2.4、设置NTP开机自动启动：chkconfig ntpd on
2.5、查看NTP是否正常运行：netstat-tlunp| grep ntp
2.6、配置防火墙过滤规则：/sbin/iptables-I INPUT-p udp--dport 123-j ACCEPT
如何配置：/etc/sysconfig/iptables文件内配置开放udp 123端口：-A INPUT-p udp--destination-port 123-j ACCEPT
A.服务端配置文件解释
①：设定NTP主机来源（其中prefer表示优先主机），192.168.31.134是本地的NTP服务器，所以优先指定从该主机同步时间。
server 192.168.7.49 prefer
server 0.rhel.pool.ntp.org
server 1.rhel.pool.ntp.org
server 2.rhel.pool.ntp.org
server 3.rhel.pool.ntp.org
②：限制你允许的这些服务器的访问类型,在这个例子中的服务器是不容许修改运行时配置或查询您的Linux NTP服务器
restrict 192.168.0.0 mask 255.255.255.0 notrust nomodify notrap
在上例中，掩码地址扩展为255，因此从192.168.0.1-192.168.0.254的服务器都可以使用我们的NTP服务器来同步时间
#此时表示限制向从192.168.0.1-192.168.0.254这些IP段的服务器提供NTP服务。
restrict 192.168.0.0 mask 255.255.255.0 notrust nomodify notrap noquery
#设置默认策略为允许任何主机进行时间同步
restrict default ignore
三：NTP客户端配置
3.1、检查安装NTP服务有没有安装，未安装请自行安装
3.2、NTP客户端配置文件编辑： vim/etc/ntp.conf
#@1新增-权限配置restrict 192.168.31.0 mask 255.255.255.0 nomodify notrap# Use public servers from the pool.ntp.org project.# Please consider joining the pool().#注释掉原来的实际服务器地址#server 0.centos.pool.ntp.org iburst#server 1.centos.pool.ntp.org iburst#server 2.centos.pool.ntp.org iburst#server 3.centos.pool.ntp.org iburst#@2新增-自己的时间服务器地址server 192.168.31.223 prefer<==以这部主机为最优先#broadcast 192.168.1.255 autokey# broadcast server#broadcastclient# broadcast client#broadcast 224.0.1.1 autokey# multicast server#multicastclient 224.0.1.1# multicast client#manycastserver 239.255.254.254# manycast server#manycastclient 239.255.254.254 autokey# manycast client
3.3、手动同步一次时间：/usr/sbin/ntpdate192.168.31.134（服务端主机IP，这里需要先关闭NTP服务哦）
3.4、启动NTP服务：service ntpd start
3.5、观察时间同步状况：ntpq-p
结果：
[root@localhost hct]# ntpq-p remote refid st t when poll reach delay offset jitter==============================================================================*192.168.31.134LOCAL(0) 11 u 64 128 377 0.202 73.980 412.834
⑥查看时间同步结果：ntpstat
[root@hct~]# ntpstat
unsynchronised
polling server every 8 s
同步失败,同步也需要时间，需等待5-10分钟再次查询：
Every 2.0s: ntpstat Tue Jul 11 16:55:57 2017synchronised to NTP server(10.10.11.247) at stratum 12 time correct to within 605 ms polling server every 128 s
时间同步完成，date一下看是不是和服务器主机时间一致
B.客户端配置文件详解
修改/etc/ntp/stpe-tickers文件，内容如下（当ntpd服务启动时，会自动与该文件中记录的上层NTP服务进行时间校对
C.系统时间与硬件时间同步
如果主从服务时间超过1000秒则不再进行同步了，这时候要手动同步，即：/usr/sbin/ntpdate命令，如果怕服务器时差会经常变动比较大可以再Linux中添加计划任务，例如：
10 5*** root/usr/sbin/ntpdate 192.168.31.223&&/sbin/hwclock-w
ntp服务，默认只会同步系统时间。如果想要让ntp同时同步硬件时间，可以设置/etc/sysconfig/ntpd文件，在/etc/sysconfig/ntpd文件中，添加 SYNC_HWCLOCK=yes这样，就可以让硬件时间与系统时间一起同步。
拓展内容
ntpq-p各个选项相关信息
restrict控制相关权限。
语法为： restrict IP地址 mask子网掩码参数
其中IP地址也可以是default，default就是指所有的IP
参数有以下几个：
ignore：关闭所有的 NTP联机服务
nomodify：客户端不能更改服务端的时间参数，但是客户端可以通过服务端进行网络校时。
notrust：客户端除非通过认证，否则该客户端来源将被视为不信任子网
noquery：不提供客户端的时间查询：用户端不能使用ntpq，ntpc等命令来查询ntp服务器
notrap：不提供trap远端登陆：拒绝为匹配的主机提供模式 6控制消息陷阱服务。陷阱服务是 ntpdq控制消息协议的子系统，用于远程事件日志记录程序。
nopeer：用于阻止主机尝试与服务器对等，并允许欺诈性服务器控制时钟
kod：访问违规时发送 KoD包。
restrict-6表示IPV6地址的权限设置。
root@www~]#vim/etc/ntp.conf# 1.先处理权限方面的问题，包括放行上层伺服器以及开放区网用户来源：restrict default kod nomodify notrap nopeer noquery<==拒绝 IPv4的用户restrict-6 default kod nomodify notrap nopeer noquery<==拒绝 IPv6的用户restrict 220.130.158.71<==放行 tock.stdtime.gov.tw进入本 NTP伺服器restrict 59.124.196.83<==放行 tick.stdtime.gov.tw进入本 NTP伺服器restrict 59.124.196.84<==放行 time.stdtime.gov.tw进入本 NTP伺服器restrict 127.0.0.1<==底下两个是预设值，放行本机来源restrict-6::1restrict 192.168.100.0 mask 255.255.255.0 nomodify<==放行区网来源# 2.设定主机来源，请先将原本的 [0|1|2].centos.pool.ntp.org的设定注解掉：server 220.130.158.71 prefer<==以这部主机为最优先server 59.124.196.83server 59.124.196.84# 3.预设时间差异分析档案与暂不用到的 keys等，不需要更动它：driftfile/var/lib/ntp/driftkeys/etc/ntp/keys
ntpd、ntpdate的区别
下面是网上关于ntpd与ntpdate区别的相关资料。如下所示所示：
使用之前得弄清楚一个问题，ntpd与ntpdate在更新时间时有什么区别。ntpd不仅仅是时间同步服务器，它还可以做客户端与标准时间服务器进行同步时间，而且是平滑同步，并非ntpdate立即同步，在生产环境中慎用ntpdate，也正如此两者不可同时运行。
时钟的跃变，对于某些程序会导致很严重的问题。许多应用程序依赖连续的时钟——毕竟，这是一项常见的假定，即，取得的时间是线性的，一些操作，例如数据库事务，通常会地依赖这样的事实：时间不会往回跳跃。不幸的是，ntpdate调整时间的方式就是我们所说的”跃变“：在获得一个时间之后，ntpdate使用settimeofday(2)设置系统时间，这有几个非常明显的问题：
第一，这样做不安全。ntpdate的设置依赖于ntp服务器的安全性，攻击者可以利用一些软件设计上的缺陷，拿下ntp服务器并令与其同步的服务器执行某些消耗性的任务。由于ntpdate采用的方式是跳变，跟随它的服务器无法知道是否发生了异常（时间不一样的时候，唯一的办法是以服务器为准）。
第二，这样做不精确。一旦ntp服务器宕机，跟随它的服务器也就会无法同步时间。与此不同，ntpd不仅能够校准计算机的时间，而且能够校准计算机的时钟。
第三，这样做不够优雅。由于是跳变，而不是使时间变快或变慢，依赖时序的程序会出错（例如，如果ntpdate发现你的时间快了，则可能会经历两个相同的时刻，对某些应用而言，这是致命的）。因而，唯一一个可以令时间发生跳变的点，是计算机刚刚启动，但还没有启动很多服务的那个时候。其余的时候，理想的做法是使用ntpd来校准时钟，而不是调整计算机时钟上的时间。
NTPD在和时间服务器的同步过程中，会把 BIOS计时器的振荡频率偏差——或者说 Local Clock的自然漂移(drift)——记录下来。这样即使网络有问题，本机仍然能维持一个相当精确的走时。
