11.5. chrony 中的网络时间安全概述(NTS)

1. 除推荐的 iburst 选项外，使用 nts 选项指定服务器。

   For example:
   server time.example.com iburst nts
   server nts.netnod.se iburst nts
   server ptbtime1.ptb.de iburst nts

2. 添加以下设置以避免在系统引导时重复 Network Time Security-Key Establishment (NTS-KE)会话：

   ntsdumpdir /var/lib/chrony

3. 如果存在，注释掉或删除以下设置，以禁用与 DHCP 提供的网络时间协议(NTP)服务器的同步：

   sourcedir /run/chrony-dhcp

4. 重启 chronyd 服务：

   systemctl restart chronyd

流程

1. 编辑 /etc/chrony.conf 文件并进行以下更改：

   ntsserverkey /etc/pki/tls/private/<ntp-server.example.net>.key
   ntsservercert /etc/pki/tls/certs/<ntp-server.example.net>.crt

2. 对私钥和证书文件设置权限，允许 chrony 用户读取文件，例如

   # chown root:chrony /etc/pki/tls/private/<ntp-server.example.net>.key /etc/pki/tls/certs/<ntp-server.example.net>.crt
   
   # chmod 644 /etc/pki/tls/private/<ntp-server.example.net>.key /etc/pki/tls/certs/<ntp-server.example.net>.crt

3. 确保 ntsdumpdir /var/lib/chrony 设置存在。

4. 在 firewalld 中打开所需端口：

   # firewall-cmd --permannent --add-port={323/udp,4460/tcp}
   # firewall-cmd --reload

5. 重启 chronyd 服务：

   # systemctl restart chronyd

验证

1. 从客户端机器执行测试：

   $ chronyd -Q -t 3 'server
   
   ntp-server.example.net iburst nts maxsamples 1'
   2021-09-15T13:45:26Z chronyd version 4.1 starting (+CMDMON +NTP +REFCLOCK +RTC +PRIVDROP +SCFILTER +SIGND +ASYNCDNS +NTS +SECHASH +IPV6 +DEBUG)
   2021-09-15T13:45:26Z Disabled control of system clock
   2021-09-15T13:45:28Z System clock wrong by 0.002205 seconds (ignored)
   2021-09-15T13:45:28Z chronyd exiting

   System clock wrong 消息指示 NTP 服务器接受 NTS-KE 连接并使用 NTS 保护的 NTP 消息进行响应。

2. 验证 NTS-KE 连接并验证服务器中观察的 NTP 数据包：

   # chronyc serverstats
   
   NTP packets received       : 7
   NTP packets dropped        : 0
   Command packets received   : 22
   Command packets dropped    : 0
   Client log records dropped : 0
   NTS-KE connections accepted: 1
   NTS-KE connections dropped : 0
   Authenticated NTP packets: 7

   如果 NTS-KE connections accepted 和 Authenticated NTP packets 项带有一个非零值，这意味着至少有一个客户端能够连接到 NTS-KE 端口并发送经过身份验证的 NTP 请求。