समय समन्वयन कैसे सुरक्षित हुआ

अगर आपके पास TCP/IP के ज़रिए एक साथ काम करने वाले लाखों बड़े और छोटे डिवाइस हैं, तो आप कैसे सुनिश्चित कर सकते हैं कि समय झूठ न बोले? आखिरकार, उनमें से हर एक के पास एक घड़ी होती है, और उन सभी पर समय सही होना चाहिए। इस समस्या को ntp के बिना टाला नहीं जा सकता।

आइए एक मिनट के लिए कल्पना करें कि औद्योगिक आईटी अवसंरचना के एक खंड में समय के अनुसार सेवाओं को सिंक्रनाइज़ करने में कठिनाइयाँ हैं। एंटरप्राइज़ सॉफ़्टवेयर का क्लस्टर स्टैक तुरंत विफल होने लगता है, डोमेन अलग हो जाते हैं, मास्टर्स और स्टैंडबाय नोड्स यथास्थिति को बहाल करने का असफल प्रयास करते हैं।

यह भी संभव है कि हमलावर जानबूझकर MiTM या DDOS हमले के ज़रिए समय कम करने की कोशिश करे। ऐसी स्थिति में कुछ भी हो सकता है:

• उपयोगकर्ता खाते के पासवर्ड समाप्त हो जाएंगे;
• X.509 प्रमाणपत्र समाप्त हो जायेंगे;
• TOTP दो-कारक प्रमाणीकरण काम करना बंद कर देगा;
• बैकअप “पुराने” हो जाएंगे और सिस्टम उन्हें हटा देगा;
• DNSSec टूट जाएगा.

यह स्पष्ट है कि प्रत्येक प्रथम आईटी विभाग समय तुल्यकालन सेवाओं के विश्वसनीय संचालन में रुचि रखता है, और यह अच्छा होगा यदि वे औद्योगिक संचालन में विश्वसनीय और सुरक्षित हों।

25 मिनट में NTP तोड़ें

नेटवर्क प्रोटोकॉल - मिलेनियल्स में एक बात समान है: वे लंबे समय से पुराना है और अब किसी काम के नहीं रह गए हैं, लेकिन उन्हें प्रतिस्थापित करना इतना आसान नहीं है, भले ही उत्साही लोगों और धन का एक महत्वपूर्ण हिस्सा प्राप्त हो गया हो।

क्लासिक एनटीपी के बारे में मुख्य शिकायत दुर्भावनापूर्ण हमलों से सुरक्षा के लिए विश्वसनीय तंत्र की कमी है। इस समस्या को हल करने के लिए कई प्रयास किए गए हैं। ऐसा करने के लिए, सममित कुंजियों के आदान-प्रदान के लिए पहले से स्थापित कुंजी (PSK) तंत्र को पेश किया गया था।

दुर्भाग्य से, यह विधि एक साधारण कारण से खुद को उचित नहीं ठहरा पाई - यह अच्छी तरह से स्केल नहीं करती है। सर्वर के आधार पर क्लाइंट साइड पर मैन्युअल कॉन्फ़िगरेशन की आवश्यकता होती है। इसका मतलब है कि आप बस एक और क्लाइंट नहीं जोड़ सकते। यदि NTP सर्वर पर कुछ बदलता है, तो आपको सभी क्लाइंट को फिर से कॉन्फ़िगर करना होगा।

फिर वे ऑटोकी के साथ आए, लेकिन तुरंत ही एल्गोरिथ्म डिज़ाइन में कई गंभीर कमज़ोरियाँ पाई गईं और इसे छोड़ना पड़ा। पूरा मुद्दा यह है कि प्रारंभिक संख्या (बीज) में केवल 32 बिट्स होते हैं, यह बहुत छोटा है और इसमें ब्रूट-फोर्स हमले के लिए पर्याप्त कम्प्यूटेशनल जटिलता नहीं है।

• कुंजी आईडी एक सममित 32-बिट कुंजी है;
• MAC (संदेश प्रमाणीकरण कोड) - NTP पैकेट का चेकसम;

ऑटोकी की गणना निम्न प्रकार से की जाती है।

Autokey=H(Sender-IP||Receiver-IP||KeyID||Cookie)

जहाँ H() एक क्रिप्टोग्राफ़िक हैश फ़ंक्शन है।

पैकेट के चेकसम की गणना के लिए भी इसी फ़ंक्शन का उपयोग किया जाता है।

MAC=H(Autokey||NTP packet)

यह पता चला है कि पैकेट जाँच की संपूर्ण अखंडता कुकीज़ की प्रामाणिकता पर निर्भर करती है। उन्हें कैप्चर करने के बाद, आप ऑटोकी को पुनर्स्थापित कर सकते हैं और फिर MAC को जाली बना सकते हैं। हालाँकि, NTP सर्वर उन्हें उत्पन्न करते समय प्रारंभिक संख्या (बीज) का उपयोग करता है। यहीं पर पेंच है।

Cookie=MSB_32(H(Client IP||Server IP||0||Server Seed))

MSB_32 फ़ंक्शन md5 हैश गणना परिणाम से 32 वरिष्ठ बिट्स काट देता है। जब तक सर्वर पैरामीटर अपरिवर्तित रहते हैं, तब तक क्लाइंट कुकी नहीं बदलती है। फिर हमलावर को केवल प्रारंभिक संख्या को पुनर्स्थापित करने और स्वतंत्र रूप से कुकीज़ उत्पन्न करने की क्षमता प्राप्त करने की आवश्यकता होती है।

सबसे पहले, क्लाइंट के रूप में NTP सर्वर से कनेक्ट करें और कुकी प्राप्त करें। उसके बाद, हमलावर एक सरल एल्गोरिथ्म का उपयोग करके प्रारंभिक संख्या को पुनः प्राप्त करता है।

प्रारंभिक संख्या पर बलपूर्वक आक्रमण करने के लिए एक एल्गोरिथ्म।

   for i=0:2^32 − 1 do
        Ci=H(Server-IP||Client-IP||0||i)
        if Ci=Cookie then
            return i
        end if 
    end for

IP पते ज्ञात हैं, इसलिए अब केवल 2^32 हैश बनाना बाकी है जब तक कि बनाई गई कुकी NTP सर्वर से प्राप्त कुकी से मेल नहीं खाती। Intel Core i5 वाले एक सामान्य होम स्टेशन पर, इसमें 25 मिनट लगेंगे।

एनटीएस - नई ऑटोकी

ऑटोकी में ऐसी सुरक्षा खामियों को बर्दाश्त करना असंभव था, और 2012 में, एक नया संस्करण प्रोटोकॉल। नाम से समझौता करने के लिए, उन्होंने इसे रीब्रांड करने का फैसला किया, इसलिए ऑटोकी v.2 को नेटवर्क टाइम सिक्योरिटी नाम दिया गया।

एनटीएस प्रोटोकॉल एनटीपी का सुरक्षा विस्तार है और वर्तमान में केवल यूनिकास्ट मोड का समर्थन करता है। यह पैकेट हेरफेर के खिलाफ मजबूत क्रिप्टोग्राफिक सुरक्षा प्रदान करता है, जासूसी को रोकता है, अच्छी तरह से स्केल करता है, नेटवर्क पैकेट हानि के लिए लचीला है, और कनेक्शन को सुरक्षित करने की प्रक्रिया में सबसे कम सटीकता हानि का परिणाम देता है।

एनटीएस कनेक्शन में दो चरण होते हैं, जिसमें निम्न-स्तरीय प्रोटोकॉल का उपयोग किया जाता है। पहला इस स्तर पर, क्लाइंट और सर्वर विभिन्न कनेक्शन मापदंडों पर सहमत होते हैं और सभी संबंधित डेटा के साथ कुंजी युक्त कुकीज़ का आदान-प्रदान करते हैं। दूसरा इस स्तर पर, वास्तविक सुरक्षित NTS सत्र क्लाइंट और NTP सर्वर के बीच होता है।

NTS में दो निचली परत के प्रोटोकॉल शामिल हैं: नेटवर्क टाइम सिक्योरिटी की एक्सचेंज (NTS-KE), जो TLS पर सुरक्षित कनेक्शन शुरू करता है, और NTPv4, जो NTP प्रोटोकॉल का नवीनतम अवतार है। इसके बारे में नीचे विस्तार से बताया गया है।

प्रथम चरण - एनटीएस केई

इस चरण पर, NTP क्लाइंट NTS KE सर्वर से एक अलग TCP कनेक्शन पर TLS 1.2/1.3 सत्र आरंभ करता है। इस सत्र के दौरान, निम्न होता है।

• पार्टियाँ मापदण्ड निर्धारित करती हैं एईएडी दूसरे चरण के लिए एल्गोरिथ्म.
• दोनों पक्ष एक दूसरे निम्न-स्तरीय प्रोटोकॉल को परिभाषित कर रहे हैं, लेकिन वर्तमान में केवल NTPv4 ही समर्थित है।
• दोनों पक्ष NTP सर्वर का IP पता और पोर्ट निर्धारित करते हैं।
• एनटीएस केई सर्वर एनटीपीवी4 के अंतर्गत कुकीज़ जारी करता है।
• पार्टियां कुकी सामग्री से सममित कुंजियों (C2S और S2C) की एक जोड़ी निकालती हैं।

इस दृष्टिकोण का एक बड़ा फायदा यह है कि गुप्त कनेक्शन पैरामीटर जानकारी संचारित करने का पूरा बोझ सिद्ध और विश्वसनीय TLS प्रोटोकॉल पर पड़ता है। इस प्रकार, सुरक्षित NTP हैंडशेक के लिए पहिया को फिर से आविष्कार करने की कोई आवश्यकता नहीं है।

चरण 2 - एनटीएस संरक्षण के अंतर्गत एनटीपी

दूसरे चरण में, क्लाइंट NTP सर्वर के साथ समय को सुरक्षित रूप से सिंक्रोनाइज़ करता है। इस उद्देश्य के लिए, यह NTPv4 पैकेट संरचना में चार विशेष एक्सटेंशन फ़ील्ड संचारित करता है।

• विशिष्ट पहचानकर्ता एक्सटेंशन में रिप्ले हमलों को रोकने के लिए एक यादृच्छिक नॉन्स होता है।
• NTS कुकी एक्सटेंशन में क्लाइंट द्वारा रखी गई NTP कुकीज में से एक शामिल है। चूँकि केवल क्लाइंट के पास सममित AAED कुंजियाँ C2S और S2C हैं, इसलिए NTP सर्वर को उन्हें कुकी सामग्री से निकालना होगा।
• NTS कुकी प्लेसहोल्डर एक्सटेंशन क्लाइंट के लिए सर्वर से अतिरिक्त कुकीज़ का अनुरोध करने का एक तरीका है। यह एक्सटेंशन यह सुनिश्चित करने के लिए आवश्यक है कि NTP सर्वर की प्रतिक्रिया अनुरोध से ज़्यादा लंबी न हो। यह एम्पलीफिकेशन हमलों को रोकने में मदद करता है।
• एनटीएस प्रमाणक और एन्क्रिप्टेड एक्सटेंशन फ़ील्ड एक्सटेंशन में AAED एल्गोरिदम सिफर होता है जिसमें C2S कुंजी, NTP हेडर, टाइमस्टैम्प और ऊपर बताए गए EF सहायक डेटा के रूप में होते हैं। इस एक्सटेंशन के बिना, टाइमस्टैम्प को जाली बनाना संभव है।

क्लाइंट से अनुरोध प्राप्त करने के बाद, सर्वर NTP पैकेट की प्रामाणिकता की पुष्टि करता है। ऐसा करने के लिए, उसे कुकीज़ को डिक्रिप्ट करना होगा, AAED एल्गोरिदम और कुंजियाँ निकालनी होंगी। वैधता के लिए NTP पैकेट की सफलतापूर्वक जाँच करने के बाद, सर्वर क्लाइंट को निम्न प्रारूप में जवाब देता है।

• विशिष्ट पहचानकर्ता एक्सटेंशन क्लाइंट अनुरोध की दर्पण प्रतिलिपि, जो रिप्ले हमलों के विरुद्ध एक उपाय है।
• एनटीएस कुकी एक्सटेंशन सत्र जारी रखने के लिए अधिक कुकीज़।
• एनटीएस प्रमाणक और एन्क्रिप्टेड एक्सटेंशन फ़ील्ड एक्सटेंशन में एक S2C कुंजी के साथ एक AEAD सिफर होता है।

दूसरे हैंडशेक को पहले चरण को दरकिनार करते हुए कई बार दोहराया जा सकता है, क्योंकि प्रत्येक अनुरोध और प्रतिक्रिया क्लाइंट को अतिरिक्त कुकीज़ देती है। इसका लाभ यह है कि PKI डेटा की गणना और संचारण के अपेक्षाकृत संसाधन-गहन TLS संचालन को दोहराए गए अनुरोधों की संख्या से विभाजित किया जाता है। यह विशेष रूप से विशेष FPGA घड़ियों के लिए सुविधाजनक है, जब सभी बुनियादी कार्यक्षमता को सममित क्रिप्टोग्राफी के क्षेत्र से कई कार्यों में पैक किया जा सकता है, पूरे TLS स्टैक को दूसरे डिवाइस में स्थानांतरित किया जा सकता है।

एनटीपीसेक

NTP के बारे में क्या खास है? इस तथ्य के बावजूद कि परियोजना के लेखक डेव मिल्स ने अपने कोड को यथासंभव सर्वोत्तम तरीके से प्रलेखित करने का प्रयास किया, एक दुर्लभ प्रोग्रामर 35 साल पहले के समय सिंक्रनाइज़ेशन एल्गोरिदम की पेचीदगियों को समझने में सक्षम होगा। कुछ कोड POSIX युग से पहले लिखे गए थे, और यूनिक्स API आज इस्तेमाल किए जाने वाले से बहुत अलग था। इसके अलावा, शोर लाइनों पर हस्तक्षेप से संकेत को साफ करने के लिए सांख्यिकी के ज्ञान की आवश्यकता होती है।

एनटीएस एनटीपी को ठीक करने का पहला प्रयास नहीं था। जब हमलावरों ने डीडीओएस हमलों को बढ़ाने के लिए एनटीपी कमजोरियों का फायदा उठाना सीख लिया, तो यह स्पष्ट हो गया कि आमूलचूल परिवर्तन की आवश्यकता थी। और जब एनटीएस के मसौदे तैयार किए जा रहे थे और उन्हें अंतिम रूप दिया जा रहा था, तब अमेरिकी राष्ट्रीय विज्ञान फाउंडेशन ने 2014 के अंत में एनटीपी आधुनिकीकरण के लिए तत्काल अनुदान आवंटित किया।

कार्य समूह का नेतृत्व कोई और नहीं बल्कि स्वयं श्री. एरिक स्टीवन रेमंड — ओपन सोर्स समुदाय के संस्थापकों और स्तंभों में से एक और पुस्तक के लेखक कैथेड्रल और बाज़ारएरिक और उनके साथियों ने सबसे पहले बिटकीपर प्लैटफ़ॉर्म से NTP कोड को git में ट्रांसफ़र करने की कोशिश की, लेकिन यह इतना आसान नहीं था। प्रोजेक्ट लीडर हरलान स्टेन इस फ़ैसले के ख़िलाफ़ थे और बातचीत एक गतिरोध पर पहुँच गई। फिर प्रोजेक्ट कोड को फ़ोर्क करने का फ़ैसला किया गया और इस तरह NTPSec अस्तित्व में आया।

GPSD, गणितीय पृष्ठभूमि और प्राचीन कोड को पढ़ने की जादुई क्षमता सहित एक ठोस पृष्ठभूमि के साथ, एरिक रेमंड इस तरह के प्रोजेक्ट को अंजाम देने वाले हैकर थे। टीम ने एक कोड माइग्रेशन विशेषज्ञ को ढूंढा और सिर्फ 10 हफ्तों में NTP बस गयाGitLab पर। काम तेजी से बढ़ने लगा।

एरिक रेमंड की टीम ने इस समस्या से ऐसे निपटा जैसे ऑगस्टे रॉडिन ने चट्टान के टुकड़े से निपटा हो। 175 KLOC पुराने कोड को हटाकर, वे अपने हमले की सतह को काफी हद तक कम करने में सक्षम थे, जिससे कई सुरक्षा छेद बंद हो गए।

यहां प्रभावित लोगों की अपूर्ण सूची दी गई है:

• अलिखित, अप्रचलित, पुराना या टूटा हुआ रेफक्लॉक।
• अप्रयुक्त आईसीएस लाइब्रेरी.
• libopts/ऑटोजेन.
• विंडोज़ के लिए पुराना कोड.
• एनटीपीडीसी.
• ऑटोकी.
• सी कोड ntpq को पायथन में पुनः लिखा गया।
• सी कोड sntp/ntpdig को पायथन में पुनः लिखा गया।

कोड क्लीनअप के अलावा, परियोजना में अन्य कार्य भी थे। उपलब्धियों की अपूर्ण सूची यहां दी गई है:

• बफर ओवरफ्लो के खिलाफ कोड की सुरक्षा को काफी मजबूत किया गया है। बफर ओवरफ्लो को रोकने के लिए, सभी असुरक्षित स्ट्रिंग फ़ंक्शन (strcpy / strcat / strtok / sprintf / vsprintf / gets) को सुरक्षित संस्करणों से बदल दिया गया है जो बफर आकार सीमा को लागू करते हैं।
• एनटीएस समर्थन जोड़ा गया.
• भौतिक हार्डवेयर बाइंडिंग द्वारा समय चरण सटीकता दस गुना बढ़ गई है। ऐसा इसलिए है क्योंकि आधुनिक कंप्यूटर घड़ियाँ उन घड़ियों की तुलना में बहुत अधिक सटीक हो गई हैं जो NTP के पहली बार पेश किए जाने के समय थीं। इसका सबसे बड़ा लाभ GPSDO और समर्पित रेडियो समय स्टेशन हैं।
• प्रोग्रामिंग भाषाओं की संख्या घटाकर दो कर दी गई है। पर्ल, awk और यहां तक ​​कि S स्क्रिप्ट की जगह अब सब पायथन है। इससे कोड के दोबारा इस्तेमाल के लिए ज़्यादा अवसर मिलते हैं।
• ऑटोटूल्स स्क्रिप्ट के नूडल्स के बजाय, परियोजना ने एक सॉफ्टवेयर बिल्ड सिस्टम का उपयोग करना शुरू कर दिया WAF.
• परियोजना दस्तावेज़ को अपडेट और पुनर्गठित किया। असंगत और कभी-कभी पुराने दस्तावेज़ों के संग्रह से, हमने काफी संतोषजनक दस्तावेज़ बनाए। प्रत्येक कमांड लाइन स्विच और प्रत्येक कॉन्फ़िगरेशन इकाई में अब सच्चाई का एक ही संस्करण है। इसके अलावा, मैनुअल पेज और वेब दस्तावेज़ अब एक ही कोर फ़ाइलों से उत्पन्न होते हैं।

NTPSec कई Linux डिस्ट्रीब्यूशन के लिए उपलब्ध है। नवीनतम स्थिर संस्करण वर्तमान में 1.1.8 है, Gentoo Linux के लिए यह अंतिम संस्करण है।

(1:696)$ sudo emerge -av ntpsec
These are the packages that would be merged, in order:
Calculating dependencies... done!
[ebuild   R    ] net-misc/ntpsec-1.1.7-r1::gentoo  USE="samba seccomp -debug -doc -early -gdb -heat -libbsd -nist -ntpviz -rclock_arbiter -rclock_generic -rclock_gpsd -rclock_hpgps -rclock_jjy -rclock_local -rclock_modem -rclock_neoclock -rclock_nmea -rclock_oncore -rclock_pps -rclock_shm -rclock_spectracom -rclock_trimble -rclock_truetime -rclock_zyfer -smear -tests" PYTHON_TARGETS="python3_6" 0 KiB
Total: 1 package (1 reinstall), Size of downloads: 0 KiB
Would you like to merge these packages? [Yes/No]

क्रोनी

पुराने NTP को अधिक सुरक्षित एनालॉग से बदलने का एक और प्रयास किया गया। NTPSec के विपरीत, Chrony को स्क्रैच से लिखा गया है और इसे अस्थिर नेटवर्क कनेक्शन, आंशिक उपलब्धता या नेटवर्क ओवरलोड और तापमान परिवर्तन सहित कई स्थितियों में मज़बूती से काम करने के लिए डिज़ाइन किया गया है। इसके अलावा, chrony के अन्य लाभ भी हैं:

• chrony सिस्टम क्लॉक को तेजी से और अधिक सटीकता के साथ सिंक्रनाइज़ कर सकता है;
• क्रोनी छोटा है, कम मेमोरी का उपयोग करता है और केवल आवश्यकता होने पर ही प्रोसेसर तक पहुँचता है। यह संसाधनों और ऊर्जा की बचत के लिए एक बड़ा प्लस है;
• chrony लिनक्स में हार्डवेयर टाइमस्टैम्प का समर्थन करता है, जिससे स्थानीय नेटवर्क पर अत्यंत सटीक सिंक्रनाइज़ेशन संभव हो पाता है।

हालाँकि, क्रॉनी में पुराने NTP की कुछ विशेषताएं नहीं हैं, जैसे कि ब्रॉडकास्ट और मल्टीकास्ट क्लाइंट/सर्वर। इसके अलावा, क्लासिक NTP बड़ी संख्या में OS और प्लेटफ़ॉर्म का समर्थन करता है।

chronyd प्रक्रिया के लिए सर्वर कार्यक्षमता और NTP अनुरोधों को अक्षम करने के लिए, बस chrony.conf फ़ाइल में पोर्ट 0 निर्दिष्ट करें। यह उन मामलों में किया जाता है जहाँ NTP क्लाइंट या साथियों के लिए समय बनाए रखने की आवश्यकता नहीं होती है। संस्करण 2.0 से शुरू होकर, NTP सर्वर पोर्ट केवल तभी खुला रहता है जब allow निर्देश या संबंधित कमांड द्वारा पहुँच की अनुमति दी जाती है, या NTP सहकर्मी कॉन्फ़िगर किया जाता है, या ब्रॉडकास्ट निर्देश का उपयोग किया जाता है।

कार्यक्रम में दो मॉड्यूल शामिल हैं।

• chronyd एक बैकग्राउंड सर्विस है जो सिस्टम क्लॉक और बाहरी टाइम सर्वर के बीच अंतर के बारे में जानकारी प्राप्त करती है और स्थानीय समय को समायोजित करती है। यह NTP प्रोटोकॉल को भी लागू करता है और क्लाइंट या सर्वर के रूप में कार्य कर सकता है।
• chronyc प्रोग्राम की निगरानी और नियंत्रण के लिए एक कमांड लाइन उपयोगिता है। इसका उपयोग विभिन्न सेवा मापदंडों को ठीक करने के लिए किया जाता है, उदाहरण के लिए, यह आपको chronyd के चलते रहने के दौरान NTP सर्वर जोड़ने या हटाने की अनुमति देता है।

RedHat Linux संस्करण 7 से का उपयोग करता है chrony को समय सिंक्रनाइज़ेशन सेवा के रूप में उपयोग किया जाता है। यह पैकेज अन्य Linux वितरणों के लिए भी उपलब्ध है। नवीनतम स्थिर संस्करण 3.5 है, जिसका v4.0 तैयार किया जा रहा है।

(1:712)$ sudo emerge -av chrony
These are the packages that would be merged, in order:
Calculating dependencies... done!
[binary  N     ] net-misc/chrony-3.5-r2::gentoo  USE="adns caps cmdmon ipv6 ntp phc readline refclock rtc seccomp (-html) -libedit -pps (-selinux)" 246 KiB
Total: 1 package (1 new, 1 binary), Size of downloads: 246 KiB
Would you like to merge these packages? [Yes/No]

ऑफिस नेटवर्क में समय को सिंक्रोनाइज़ करने के लिए इंटरनेट पर अपना खुद का रिमोट क्रोनी सर्वर कैसे सेट करें। नीचे VPS पर सेट अप करने का एक उदाहरण दिया गया है।

RHEL पर Chrony / VPS पर CentOS स्थापित करने का उदाहरण

आइए अब थोड़ा अभ्यास करें और VPS पर अपना खुद का NTP सर्वर बनाएं। यह बहुत आसान है, बस RuVDS वेबसाइट पर एक उपयुक्त टैरिफ चुनें, एक तैयार सर्वर लें और एक दर्जन सरल कमांड टाइप करें। हमारे उद्देश्यों के लिए, यह विकल्प काफी उपयुक्त है।

आइए सेवा की स्थापना की ओर बढ़ें और सबसे पहले chrony पैकेज स्थापित करें।

[root@server ~]$ yum install chrony

RHEL 8 / CentOS 8 एक अलग पैकेज प्रबंधक का उपयोग करते हैं।

[root@server ~]$ dnf install chrony

क्रॉनी को स्थापित करने के बाद, आपको सेवा शुरू और सक्रिय करनी होगी।

[root@server ~]$ systemctl enable chrony --now

यदि आप चाहें, तो प्रतिक्रिया समय कम करने के लिए /etc/chrony.conf को संपादित करके NPT सर्वर को निकटतम स्थानीय सर्वर से प्रतिस्थापित कर सकते हैं।

# Use public servers from the pool.ntp.org project.
# Please consider joining the pool (http://www.pool.ntp.org/join.html).
server 0.ru.pool.ntp.org iburst
server 1.ru.pool.ntp.org iburst
server 2.ru.pool.ntp.org iburst
server 3.ru.pool.ntp.org iburst

इसके बाद, हम निर्दिष्ट पूल से नोड्स के साथ NTP सर्वर का सिंक्रोनाइजेशन कॉन्फ़िगर करते हैं।

[root@server ~]$ timedatectl set-ntp true
[root@server ~]$ systemctl restart chronyd.service

एनटीपी पोर्ट को बाहर की ओर खोलना भी आवश्यक है, अन्यथा फ़ायरवॉल क्लाइंट नोड्स से आने वाले कनेक्शन को अवरुद्ध कर देगा।

[root@server ~]$ firewall-cmd --add-service=ntp --permanent 
[root@server ~]$ firewall-cmd --reload

क्लाइंट साइड पर, समय क्षेत्र को सही ढंग से सेट करना पर्याप्त है।

[root@client ~]$ timedatectl set-timezone Europe/Moscow

/etc/chrony.conf फ़ाइल में, हमारे VPS सर्वर का IP या होस्ट नाम निर्दिष्ट करें जिस पर NTP सर्वर chrony चल रहा है।

server my.vps.server

और अंत में, क्लाइंट पर समय सिंक्रनाइज़ेशन प्रारंभ करें।

[root@client ~]$ systemctl enable --now chronyd
[root@client ~]$ timedatectl set-ntp true

अगली बार मैं आपको बताऊंगा कि इंटरनेट के बिना भी समय को सिंक्रनाइज़ करने के क्या-क्या विकल्प हैं।

स्रोत: www.habr.com