कसरी समय सिंक्रोनाइजेसन सुरक्षित भयो

यदि तपाईंसँग TCP/IP मार्फत अन्तर्क्रिया गर्ने लाखौं ठूला र साना उपकरणहरू छन् भने, समय आफैंमा झुटो नहोस् भनेर कसरी सुनिश्चित गर्ने? आखिर, तिनीहरूमध्ये प्रत्येकसँग घडी छ, र ती सबैमा समय सही हुनुपर्छ। ntp बिना यो समस्याबाट बच्न सकिँदैन।

एक मिनेटको लागि कल्पना गरौं कि औद्योगिक IT पूर्वाधारको एउटा खण्डमा समय अनुसार सेवाहरू सिङ्क्रोनाइज गर्न कठिनाइहरू छन्। इन्टरप्राइज सफ्टवेयरको क्लस्टर स्ट्याक तुरुन्तै असफल हुन थाल्छ, डोमेनहरू टुक्रिन्छन्, मास्टरहरू र स्ट्यान्डबाइ नोडहरूले यथास्थिति पुनर्स्थापित गर्न असफल प्रयास गर्छन्।

यो पनि सम्भव छ कि आक्रमणकारीले जानाजानी MiTM वा DDOS आक्रमण मार्फत समयलाई कमजोर पार्ने प्रयास गरेको छ। यस्तो अवस्थामा, जे पनि हुन सक्छ:

• प्रयोगकर्ता खाता पासवर्डहरूको म्याद समाप्त हुनेछ;
• X.509 प्रमाणपत्रहरूको म्याद समाप्त हुनेछ;
• TOTP दुई-कारक प्रमाणीकरणले काम गर्न बन्द गर्नेछ;
• ब्याकअपहरू "पुरानो" हुनेछन् र प्रणालीले तिनीहरूलाई मेटाउनेछ;
• DNSSec बिग्रनेछ।

यो स्पष्ट छ कि प्रत्येक पहिलो आईटी विभाग समय समक्रमण सेवाहरूको भरपर्दो सञ्चालनमा रुचि राख्छ, र यदि तिनीहरू औद्योगिक सञ्चालनमा भरपर्दो र सुरक्षित भएमा राम्रो हुनेछ।

२५ मिनेटमा NTP तोड्नुहोस्

नेटवर्क प्रोटोकलहरू - सहस्राब्दीहरूमा एउटा कुरा समान छ: तिनीहरू लामो समयदेखि छन् पुरानो र अब कुनै पनि कुराको लागि उपयुक्त छैनन्, तर उत्साहीहरूको एक महत्वपूर्ण समूह र कोष प्राप्त भए पनि तिनीहरूलाई प्रतिस्थापन गर्न त्यति सजिलो छैन।

क्लासिक NTP को बारेमा मुख्य गुनासो भनेको दुर्भावनापूर्ण आक्रमणहरू विरुद्ध सुरक्षाको लागि भरपर्दो संयन्त्रको अभाव हो। यो समस्या समाधान गर्न विभिन्न प्रयासहरू गरिएका छन्। यो गर्नको लागि, सममित कुञ्जीहरूको आदानप्रदानको लागि पहिले नै स्थापित कुञ्जी (PSK) संयन्त्र प्रस्तुत गरिएको थियो।

दुर्भाग्यवश, यो विधिले एउटा साधारण कारणले आफूलाई औचित्य दिन सकेन - यो राम्रोसँग मापन गर्दैन। सर्भरको आधारमा क्लाइन्ट साइडमा म्यानुअल कन्फिगरेसन आवश्यक छ। यसको मतलब तपाईंले अर्को क्लाइन्ट थप्न सक्नुहुन्न। यदि NTP सर्भरमा केहि परिवर्तन भयो भने, तपाईंले सबै क्लाइन्टहरूलाई पुन: कन्फिगर गर्न आवश्यक छ।

त्यसपछि तिनीहरूले AutoKey लिएर आए, तर तुरुन्तै एल्गोरिथ्म डिजाइनमा नै धेरै गम्भीर कमजोरीहरू फेला परे र यसलाई त्याग्नु पर्यो। सम्पूर्ण कुरा यो हो कि प्रारम्भिक संख्या (बीज) मा केवल ३२ बिटहरू छन्, यो धेरै सानो छ र ब्रूट-फोर्स आक्रमणको लागि पर्याप्त कम्प्युटेशनल जटिलता समावेश गर्दैन।

• कुञ्जी ID एक सममित ३२-बिट कुञ्जी हो;
• MAC (सन्देश प्रमाणीकरण कोड) — NTP प्याकेटको चेकसम;

अटोकी निम्नानुसार गणना गरिन्छ।

Autokey=H(Sender-IP||Receiver-IP||KeyID||Cookie)

जहाँ H() एक क्रिप्टोग्राफिक ह्यास प्रकार्य हो।

प्याकेटको चेकसम गणना गर्न पनि यही प्रकार्य प्रयोग गरिन्छ।

MAC=H(Autokey||NTP packet)

यो पत्ता लाग्यो कि प्याकेट जाँचको सम्पूर्ण अखण्डता कुकीहरूको प्रामाणिकतामा निर्भर गर्दछ। तिनीहरूलाई क्याप्चर गरेपछि, तपाईं अटोकी पुनर्स्थापित गर्न सक्नुहुन्छ र त्यसपछि MAC फोर्ज गर्न सक्नुहुन्छ। यद्यपि, NTP सर्भरले तिनीहरूलाई उत्पन्न गर्दा प्रारम्भिक नम्बर (सीड) प्रयोग गर्दछ। यो त्यहीं हो जहाँ क्याच निहित छ।

Cookie=MSB_32(H(Client IP||Server IP||0||Server Seed))

MSB_32 प्रकार्यले md5 ह्यास गणना परिणामबाट ३२ सिनियर बिटहरू काट्छ। सर्भर प्यारामिटरहरू अपरिवर्तित रहँदासम्म क्लाइन्ट कुकी परिवर्तन हुँदैन। त्यसपछि आक्रमणकारीले केवल प्रारम्भिक नम्बर पुनर्स्थापित गर्न र स्वतन्त्र रूपमा कुकीहरू उत्पन्न गर्ने क्षमता प्राप्त गर्न आवश्यक छ।

पहिले, क्लाइन्टको रूपमा NTP सर्भरमा जडान गर्नुहोस् र कुकी प्राप्त गर्नुहोस्। त्यसपछि, आक्रमणकारीले साधारण एल्गोरिथ्म प्रयोग गरेर प्रारम्भिक नम्बर पुन: प्राप्ति गर्दछ।

ब्रुट फोर्स विधि प्रयोग गरेर प्रारम्भिक संख्यामा आक्रमण गर्ने एल्गोरिथ्म।

   for i=0:2^32 − 1 do
        Ci=H(Server-IP||Client-IP||0||i)
        if Ci=Cookie then
            return i
        end if 
    end for

IP ठेगानाहरू ज्ञात छन्, त्यसैले सिर्जना गरिएको कुकी NTP सर्भरबाट प्राप्त भएको कुकीसँग मेल नखाएसम्म २^३२ ह्यासहरू सिर्जना गर्न मात्र बाँकी छ। Intel Core i2 भएको सामान्य गृह स्टेशनमा, यसले २५ मिनेट लिनेछ।

NTS — नयाँ अटोकी

अटोकीमा यस्ता सुरक्षा कमजोरीहरू सहन असम्भव थियो, र २०१२ मा, नयाँ संस्करण प्रोटोकल। नाम सम्झौता गर्न, तिनीहरूले यसलाई पुन: ब्रान्ड गर्ने निर्णय गरे, त्यसैले Autokey v.2 लाई नेटवर्क टाइम सेक्युरिटी डब गरियो।

NTS प्रोटोकल NTP को सुरक्षा विस्तार हो र हाल यसले युनिकास्ट मोडलाई मात्र समर्थन गर्दछ। यसले प्याकेट हेरफेर विरुद्ध बलियो क्रिप्टोग्राफिक सुरक्षा प्रदान गर्दछ, स्नुपिङ रोक्छ, राम्रोसँग स्केल गर्छ, नेटवर्क प्याकेट हानिको लागि लचिलो छ, र जडान सुरक्षित गर्ने प्रक्रियामा सबैभन्दा कम शुद्धता हानिमा परिणाम दिन्छ।

NTS जडानमा दुई चरणहरू हुन्छन्, जसमा तल्लो-स्तरको प्रोटोकलहरू प्रयोग गरिन्छ। पहिलो यस चरणमा, क्लाइन्ट र सर्भर विभिन्न जडान प्यारामिटरहरूमा सहमत हुन्छन् र सबै सँगैको डेटासँग कुञ्जीहरू भएको कुकीहरू आदानप्रदान गर्छन्। दोस्रो यस चरणमा, वास्तविक सुरक्षित NTS सत्र क्लाइन्ट र NTP सर्भर बीच हुन्छ।

NTS मा दुई तल्लो-तह प्रोटोकलहरू हुन्छन्: नेटवर्क टाइम सेक्युरिटी की एक्सचेन्ज (NTS-KE), जसले TLS मार्फत सुरक्षित जडान सुरु गर्छ, र NTPv4, NTP प्रोटोकलको पछिल्लो अवतार। तल यस बारे थप जानकारी दिइएको छ।

पहिलो चरण - NTS KE

यस चरणमा, NTP क्लाइन्टले NTS KE सर्भरमा छुट्टै TCP जडानमा TLS 1.2/1.3 सत्र सुरु गर्छ। यस सत्रको समयमा, निम्न हुन्छ।

• पक्षहरूले प्यारामिटरहरू निर्धारण गर्छन् AEAD दोस्रो चरणको लागि एल्गोरिथ्म।
• पक्षहरूले दोस्रो तल्लो-स्तरको प्रोटोकल परिभाषित गरिरहेका छन्, तर हाल NTPv4 मात्र समर्थित छ।
• पक्षहरूले NTP सर्भरको IP ठेगाना र पोर्ट निर्धारण गर्छन्।
• NTS KE सर्भरले NTPv4 अन्तर्गत कुकीहरू जारी गर्दछ।
• पक्षहरूले कुकी सामग्रीबाट सममित कुञ्जीहरूको एक जोडी (C2S र S2C) निकाल्छन्।

यस दृष्टिकोणको ठूलो फाइदा यो छ कि गोप्य जडान प्यारामिटर जानकारी प्रसारण गर्ने सम्पूर्ण भार प्रमाणित र भरपर्दो TLS प्रोटोकलमा पर्छ। यसरी, सुरक्षित NTP ह्यान्डशेकको लागि पाङ्ग्रा पुन: आविष्कार गर्न आवश्यक छैन।

चरण २ - NTS सुरक्षा अन्तर्गत NTP

दोस्रो चरणमा, क्लाइन्टले सुरक्षित रूपमा NTP सर्भरसँग समय सिङ्क्रोनाइज गर्छ। यस उद्देश्यका लागि, यसले NTPv4 प्याकेट संरचनामा चार विशेष विस्तार क्षेत्रहरू प्रसारण गर्दछ।

• युनिक आइडेन्टिफायर एक्सटेन्सनमा रिप्ले आक्रमणहरू रोक्नको लागि अनियमित नोन्स हुन्छ।
• NTS कुकी एक्सटेन्सनमा क्लाइन्टले राखेको NTP कुकीहरू मध्ये एक समावेश छ। क्लाइन्टसँग मात्र सममित AAED कुकीहरू C2S र S2C भएको हुनाले, NTP सर्भरले तिनीहरूलाई कुकी सामग्रीबाट निकाल्नु पर्छ।
• NTS कुकी प्लेसहोल्डर एक्सटेन्सन भनेको क्लाइन्टले सर्भरबाट थप कुकीहरू अनुरोध गर्ने एउटा तरिका हो। यो एक्सटेन्सन NTP सर्भरको प्रतिक्रिया अनुरोध भन्दा धेरै लामो नहोस् भनेर सुनिश्चित गर्न आवश्यक छ। यसले प्रवर्धन आक्रमणहरू रोक्न मद्दत गर्दछ।
• NTS प्रमाणक र एन्क्रिप्टेड एक्सटेन्सन फिल्ड एक्सटेन्सनमा AAED एल्गोरिथ्म साइफर हुन्छ जसमा C2S कुञ्जी, NTP हेडर, टाइमस्ट्याम्पहरू, र माथि उल्लेख गरिएको EF लाई समर्थन डेटाको रूपमा प्रयोग गरिन्छ। यो एक्सटेन्सन बिना, टाइमस्ट्याम्पहरू जालसाजी गर्न सम्भव छ।

क्लाइन्टबाट अनुरोध प्राप्त गरेपछि, सर्भरले NTP प्याकेटको प्रामाणिकता प्रमाणित गर्छ। यो गर्नको लागि, यसले कुकीहरू डिक्रिप्ट गर्नुपर्छ, AAED एल्गोरिथ्म र कुञ्जीहरू निकाल्नुपर्छ। वैधताको लागि NTP प्याकेट सफलतापूर्वक जाँच गरेपछि, सर्भरले निम्न ढाँचामा क्लाइन्टलाई प्रतिक्रिया दिन्छ।

• क्लाइन्ट अनुरोधको अद्वितीय पहिचानकर्ता एक्सटेन्सन मिरर प्रतिलिपि, रिप्ले आक्रमणहरू विरुद्धको उपाय।
• सत्र जारी राख्न NTS कुकी एक्सटेन्सन थप कुकीहरू।
• NTS प्रमाणक र इन्क्रिप्टेड एक्सटेन्सन फिल्ड एक्सटेन्सनमा S2C कुञ्जी भएको AEAD साइफर हुन्छ।

दोस्रो ह्यान्डशेक धेरै पटक दोहोर्याउन सकिन्छ, पहिलो चरणलाई बाइपास गर्दै, किनकि प्रत्येक अनुरोध र प्रतिक्रियाले क्लाइन्टलाई थप कुकीहरू दिन्छ। यसको फाइदा यो छ कि PKI डेटा कम्प्युटिङ र प्रसारण गर्ने अपेक्षाकृत स्रोत-गहन TLS अपरेशनहरू दोहोर्याइएको अनुरोधहरूको संख्याद्वारा विभाजित हुन्छन्। यो विशेष गरी विशेष FPGA घडीहरूको लागि सुविधाजनक छ, जब सबै आधारभूत कार्यक्षमता सममित क्रिप्टोग्राफीको क्षेत्रबाट धेरै प्रकार्यहरूमा प्याक गर्न सकिन्छ, सम्पूर्ण TLS स्ट्याकलाई अर्को उपकरणमा स्थानान्तरण गर्दै।

NTPSec

NTP मा के विशेष छ? परियोजनाका लेखक डेभ मिल्सले आफ्नो कोडलाई सकेसम्म राम्रोसँग दस्तावेजीकरण गर्ने प्रयास गरे तापनि, एक दुर्लभ प्रोग्रामरले ३५ वर्ष पहिलेको समय सिङ्क्रोनाइजेसन एल्गोरिदमको जटिलताहरू बुझ्न सक्षम हुनेछ। केही कोड POSIX युगभन्दा पहिले लेखिएको थियो, र युनिक्स API आज प्रयोग हुने भन्दा धेरै फरक थियो। थप रूपमा, आवाज निकाल्ने रेखाहरूमा हस्तक्षेपबाट सिग्नल सफा गर्न तथ्याङ्कको ज्ञान आवश्यक छ।

NTS NTP लाई ठीक गर्ने पहिलो प्रयास थिएन। आक्रमणकारीहरूले DDoS आक्रमणहरूलाई बढाउन NTP कमजोरीहरूको शोषण गर्न सिकेपछि, यो स्पष्ट भयो कि आमूल परिवर्तनहरू आवश्यक छ। र NTS को मस्यौदा तयार र अन्तिम रूप दिइँदै गर्दा, US National Science Foundation ले २०१४ को अन्त्यमा NTP आधुनिकीकरणको लागि तुरुन्तै अनुदान विनियोजन गर्‍यो।

कार्य समूहको नेतृत्व अरू कसैको थिएन बाहेक एरिक स्टीवन रेमन्ड — खुला स्रोत समुदायका संस्थापक र स्तम्भहरू मध्ये एक र पुस्तकका लेखक गिर्जाघर र बजार। एरिक र उनका साथीहरूले पहिलो प्रयास बिटकिपर प्लेटफर्मबाट गिटमा NTP कोड स्थानान्तरण गर्नु थियो, तर यो त्यसरी सफल भएन। परियोजना नेता हार्लन स्टेन यस निर्णयको विरुद्धमा थिए र वार्ताहरू निष्कर्षमा पुगे। त्यसपछि परियोजना कोडलाई फोर्क गर्ने निर्णय गरियो, र यसरी NTPSec अस्तित्वमा आयो।

GPSD सहितको ठोस पृष्ठभूमि, गणितीय पृष्ठभूमि र प्राचीन कोड पढ्ने जादुई क्षमताको साथ, एरिक रेमन्ड यस्तो परियोजना सुरु गर्ने ह्याकर थिए। टोलीले एक कोड माइग्रेसन विशेषज्ञ फेला पार्यो र केवल १० हप्तामा NTP बसोबासGitLab मा। काम उम्लन थाल्यो।

एरिक रेमन्डको टोलीले अगस्टे रोडिनले जस्तै समस्याको समाधान गर्‍यो। पुरानो कोडको १७५ KLOC हटाएर, तिनीहरूले आफ्नो आक्रमणको सतहलाई उल्लेखनीय रूपमा कम गर्न सक्षम भए, धेरै सुरक्षा प्वालहरू बन्द गरे।

यहाँ प्रभावितहरूको अपूर्ण सूची छ:

• कागजात नभएको, अप्रचलित, पुरानो वा बिग्रिएको रिफ्लक।
• प्रयोग नगरिएको ICS पुस्तकालय।
• लिबोप्ट्स/अटोजेन।
• विन्डोजको लागि पुरानो कोड।
• एनटीपीडीसी।
• अटोकी।
• पाइथनमा पुन: लेखिएको C कोड ntpq।
• पाइथनमा पुन: लेखिएको C कोड sntp/ntpdig।

कोड सफाईको अतिरिक्त, परियोजनामा अन्य कार्यहरू पनि थिए। यहाँ उपलब्धिहरूको अपूर्ण सूची छ:

• बफर ओभरफ्लो विरुद्ध कोडको सुरक्षा उल्लेखनीय रूपमा बलियो बनाइएको छ। बफर ओभरफ्लो रोक्नको लागि, सबै असुरक्षित स्ट्रिङ प्रकार्यहरू (strcpy / strcat / strtok / sprintf / vsprintf / gets) लाई बफर आकार सीमा लागू गर्ने सुरक्षित संस्करणहरूसँग प्रतिस्थापन गरिएको छ।
• NTS समर्थन थपियो।
• भौतिक हार्डवेयर बाइन्डिङद्वारा समय चरण शुद्धता दश गुणा बढाइएको छ। यो किनभने आधुनिक कम्प्युटर घडीहरू NTP पहिलो पटक प्रस्तुत गर्दा भएका घडीहरू भन्दा धेरै सटीक भएका छन्। यसको सबैभन्दा ठूलो लाभार्थी GPSDO र समर्पित रेडियो समय स्टेशनहरू हुन्।
• प्रोग्रामिङ भाषाहरूको संख्या घटाएर दुईमा झरेको छ। Perl, awk र S स्क्रिप्टहरूको सट्टा, अब सबै Python छन्। यसले कोड पुन: प्रयोगको लागि थप अवसरहरू प्रदान गर्दछ।
• अटोटूल स्क्रिप्टहरूको नूडल्सको सट्टा, परियोजनाले सफ्टवेयर निर्माण प्रणाली प्रयोग गर्न थाल्यो। waf.
• परियोजना कागजातहरू अद्यावधिक र पुनर्गठन गरियो। कागजातहरूको असंगत र कहिलेकाहीं पुरातन संग्रहबाट, हामीले धेरै पास गर्न सकिने कागजातहरू सिर्जना गर्यौं। प्रत्येक कमाण्ड लाइन स्विच र प्रत्येक कन्फिगरेसन इकाईमा अब सत्यको एकल संस्करण छ। थप रूपमा, म्यानुअल पृष्ठहरू र वेब कागजातहरू अब एउटै कोर फाइलहरूबाट उत्पन्न हुन्छन्।

NTPSec धेरै Linux वितरणहरूको लागि उपलब्ध छ। पछिल्लो स्थिर संस्करण हाल १.१.८ हो, Gentoo Linux को लागि यो उपान्त्य हो।

(1:696)$ sudo emerge -av ntpsec
These are the packages that would be merged, in order:
Calculating dependencies... done!
[ebuild   R    ] net-misc/ntpsec-1.1.7-r1::gentoo  USE="samba seccomp -debug -doc -early -gdb -heat -libbsd -nist -ntpviz -rclock_arbiter -rclock_generic -rclock_gpsd -rclock_hpgps -rclock_jjy -rclock_local -rclock_modem -rclock_neoclock -rclock_nmea -rclock_oncore -rclock_pps -rclock_shm -rclock_spectracom -rclock_trimble -rclock_truetime -rclock_zyfer -smear -tests" PYTHON_TARGETS="python3_6" 0 KiB
Total: 1 package (1 reinstall), Size of downloads: 0 KiB
Would you like to merge these packages? [Yes/No]

क्रोनी

पुरानो NTP लाई अझ सुरक्षित एनालगले प्रतिस्थापन गर्ने अर्को प्रयास थियो। NTPSec भन्दा फरक, Chrony स्क्र्याचबाट लेखिएको हो र अस्थिर नेटवर्क जडानहरू, आंशिक उपलब्धता वा नेटवर्क ओभरलोड, र तापमान परिवर्तनहरू सहित विस्तृत दायरामा भरपर्दो रूपमा काम गर्न डिजाइन गरिएको हो। यसको अतिरिक्त, chrony का अन्य फाइदाहरू छन्:

• chrony ले प्रणाली घडीलाई छिटो र बढी शुद्धताका साथ सिङ्क्रोनाइज गर्न सक्छ;
• chrony सानो छ, कम मेमोरी प्रयोग गर्छ र आवश्यक पर्दा मात्र प्रोसेसर पहुँच गर्छ। यो स्रोत र ऊर्जा बचतको लागि ठूलो फाइदा हो;
• chrony ले Linux मा हार्डवेयर टाइमस्ट्याम्पहरूलाई समर्थन गर्दछ, जसले गर्दा स्थानीय नेटवर्कहरूमा अत्यन्तै सटीक सिङ्क्रोनाइजेसनको लागि अनुमति मिल्छ।

यद्यपि, chrony मा पुरानो NTP का केही सुविधाहरूको अभाव छ, जस्तै प्रसारण र मल्टिकास्ट क्लाइन्ट/सर्भर। यसको अतिरिक्त, क्लासिक NTP ले ठूलो संख्यामा OS र प्लेटफर्महरूलाई समर्थन गर्दछ।

chronyd प्रक्रियामा सर्भर कार्यक्षमता र NTP अनुरोधहरू असक्षम गर्न, chrony.conf फाइलमा पोर्ट ० निर्दिष्ट गर्नुहोस्। यो NTP क्लाइन्ट वा साथीहरूको लागि समय कायम राख्न आवश्यक नभएको अवस्थामा गरिन्छ। संस्करण २.० बाट सुरु गर्दै, अनुमति निर्देशन वा सम्बन्धित आदेशद्वारा पहुँच अनुमति दिइएको बेला, वा NTP साथी कन्फिगर गरिएको बेला, वा प्रसारण निर्देशन प्रयोग गरिएको बेला मात्र NTP सर्भर पोर्ट खुला हुन्छ।

कार्यक्रममा दुई मोड्युलहरू छन्।

• chronyd एउटा पृष्ठभूमि सेवा हो जसले प्रणाली घडी र बाह्य समय सर्भर बीचको भिन्नताको बारेमा जानकारी प्राप्त गर्दछ र स्थानीय समय समायोजन गर्दछ। यसले NTP प्रोटोकल पनि लागू गर्दछ र क्लाइन्ट वा सर्भरको रूपमा कार्य गर्न सक्छ।
• chronyc कार्यक्रमको निगरानी र नियन्त्रणको लागि कमाण्ड लाइन उपयोगिता हो। यो विभिन्न सेवा प्यारामिटरहरूलाई फाइन-ट्यून गर्न प्रयोग गरिन्छ, उदाहरणका लागि, यसले तपाईंलाई chronyd चलिरहेको बेला NTP सर्भरहरू थप्न वा हटाउन अनुमति दिन्छ।

रेडह्याट लिनक्स संस्करण ७ देखि उपयोगहरु chrony समय सिङ्क्रोनाइजेसन सेवाको रूपमा। यो प्याकेज अन्य Linux वितरणहरूको लागि पनि उपलब्ध छ। पछिल्लो स्थिर संस्करण ३.५ हो, जसको v४.० तयारीमा छ।

(1:712)$ sudo emerge -av chrony
These are the packages that would be merged, in order:
Calculating dependencies... done!
[binary  N     ] net-misc/chrony-3.5-r2::gentoo  USE="adns caps cmdmon ipv6 ntp phc readline refclock rtc seccomp (-html) -libedit -pps (-selinux)" 246 KiB
Total: 1 package (1 new, 1 binary), Size of downloads: 246 KiB
Would you like to merge these packages? [Yes/No]

अफिस नेटवर्कमा समय सिङ्क्रोनाइज गर्न इन्टरनेटमा आफ्नै रिमोट क्रोनी सर्भर कसरी सेटअप गर्ने। VPS मा सेटअप गर्ने उदाहरण तल दिइएको छ।

VPS मा RHEL / CentOS मा Chrony सेटअप गर्ने उदाहरण

अब थोरै अभ्यास गरौं र VPS मा हाम्रो आफ्नै NTP सर्भर बढाऔं। यो धेरै सरल छ, RuVDS वेबसाइटमा उपयुक्त ट्यारिफ छनौट गर्नुहोस्, तयार सर्भर प्राप्त गर्नुहोस् र एक दर्जन साधारण आदेशहरू टाइप गर्नुहोस्। हाम्रो उद्देश्यका लागि, यो विकल्प एकदम उपयुक्त छ।

सेवा सेटअप गर्न अगाडि बढौं र सबैभन्दा पहिले chrony प्याकेज स्थापना गरौं।

[root@server ~]$ yum install chrony

RHEL 8 / CentOS 8 ले फरक प्याकेज प्रबन्धक प्रयोग गर्दछ।

[root@server ~]$ dnf install chrony

chrony स्थापना गरेपछि, तपाईंले सेवा सुरु गरेर सक्रिय गर्नुपर्छ।

[root@server ~]$ systemctl enable chrony --now

यदि चाहनुहुन्छ भने, तपाईंले प्रतिक्रिया समय घटाउनको लागि नजिकको स्थानीय सर्भरहरूसँग NPT सर्भरहरू प्रतिस्थापन गर्न /etc/chrony.conf सम्पादन गर्न सक्नुहुन्छ।

# Use public servers from the pool.ntp.org project.
# Please consider joining the pool (http://www.pool.ntp.org/join.html).
server 0.ru.pool.ntp.org iburst
server 1.ru.pool.ntp.org iburst
server 2.ru.pool.ntp.org iburst
server 3.ru.pool.ntp.org iburst

अर्को, हामी निर्दिष्ट पूलबाट नोडहरूसँग NTP सर्भरको सिङ्क्रोनाइजेसन कन्फिगर गर्छौं।

[root@server ~]$ timedatectl set-ntp true
[root@server ~]$ systemctl restart chronyd.service

NTP पोर्ट बाहिरबाट खोल्नु पनि आवश्यक छ, अन्यथा फायरवालले क्लाइन्ट नोडहरूबाट आउने जडानहरूलाई रोक्नेछ।

[root@server ~]$ firewall-cmd --add-service=ntp --permanent 
[root@server ~]$ firewall-cmd --reload

ग्राहक पक्षमा, समय क्षेत्र सही रूपमा सेट गर्न पर्याप्त छ।

[root@client ~]$ timedatectl set-timezone Europe/Moscow

/etc/chrony.conf फाइलमा, हाम्रो VPS सर्भरको IP वा होस्ट नाम निर्दिष्ट गर्नुहोस् जसमा NTP सर्भर chrony चलिरहेको छ।

server my.vps.server

र अन्तमा, क्लाइन्टमा समय सिङ्क्रोनाइजेसन सुरु गर्नुहोस्।

[root@client ~]$ systemctl enable --now chronyd
[root@client ~]$ timedatectl set-ntp true

अर्को पटक म तपाईंलाई इन्टरनेट बिना समय सिङ्क्रोनाइज गर्ने विकल्पहरू के के छन् भनेर बताउनेछु।

स्रोत: www.habr.com