在Linux系統(tǒng)中，為了避免主機(jī)時間因?yàn)樵陂L時間運(yùn)行下所導(dǎo)致的時間偏差，進(jìn)行時間同步(synchronize)的工作是非常必要的。Linux系統(tǒng)下，一般使用ntp服務(wù)來同步不同機(jī)器的時間。NTP 是網(wǎng)絡(luò)時間協(xié)議（Network Time Protocol）的簡稱，干嘛用的呢？就是通過網(wǎng)絡(luò)協(xié)議使計(jì)算機(jī)之間的時間同步化。

安裝NTP包

檢查是否安裝了ntp相關(guān)包。如果沒有安裝ntp相關(guān)包，使用rpm或yum安裝，安裝也非常簡單方便。

[root@localhost ~]#  rpm -qa | grep ntp

NTP的配置

一. 配置/etc/ntp.conf

NTP Server的主要配置文件為/etc/ntp.conf ,沒有修改過的ntp.conf文件內(nèi)容如下所示，配置選項(xiàng)都有相關(guān)注釋信息（Linux 版本為 cenots7.3）

   
各個選項(xiàng)信息：

#系統(tǒng)時間與BIOS事件的偏差記錄

driftfile /var/lib/ntp/drift

restrict 控制相關(guān)權(quán)限。

語法為： restrict IP地址 mask 子網(wǎng)掩碼 參數(shù)

其中IP地址也可以是default ，default 就是指所有的IP

參數(shù)有以下幾個：

ignore  ：關(guān)閉所有的 NTP 聯(lián)機(jī)服務(wù)

nomodify：客戶端不能更改服務(wù)端的時間參數(shù)，但是客戶端可以通過服務(wù)端進(jìn)行網(wǎng)絡(luò)校時。

notrust ：客戶端除非通過認(rèn)證，否則該客戶端來源將被視為不信任子網(wǎng)

noquery ：不提供客戶端的時間查詢：用戶端不能使用ntpq，ntpc等命令來查詢ntp服務(wù)器

notrap ：不提供trap遠(yuǎn)端登陸：拒絕為匹配的主機(jī)提供模式 6 控制消息陷阱服務(wù)。陷阱服務(wù)是 ntpdq 控制消息協(xié)議的子系統(tǒng)，用于遠(yuǎn)程事件日志記錄程序。

nopeer ：用于阻止主機(jī)嘗試與服務(wù)器對等，并允許欺詐性服務(wù)器控制時鐘

kod ： 訪問違規(guī)時發(fā)送 KoD 包。

restrict -6 表示IPV6地址的權(quán)限設(shè)置。

1：設(shè)定NTP主機(jī)來源（其中prefer表示優(yōu)先主機(jī)），10.135.68.56是本地的NTP服務(wù)器，所以優(yōu)先指定從該主機(jī)同步時間。
    
2. 限制你允許的這些服務(wù)器的訪問類型,在這個例子中的服務(wù)器是不容許修改運(yùn)行時配置或查詢您的Linux NTP服務(wù)器
     

restrict 192.168.1.0 mask 255.255.255.0 notrust nomodify notrap

在上例中，掩碼地址擴(kuò)展為255，因此從192.168.1.1-192.168.1.254的服務(wù)器都可以使用我們的NTP服務(wù)器來同步時間

#此時表示限制向從192.168.0.1-192.168.0.254這些IP段的服務(wù)器提供NTP服務(wù)。

restrict 192.168.1.0 mask 255.255.255.0 notrust nomodify notrap noquery

#設(shè)置默認(rèn)策略為允許任何主機(jī)進(jìn)行時間同步

restrict default ignore

3：確保localhost（這個常用的IP地址用來指Linux服務(wù)器本身）有足夠權(quán)限.使用沒有任何限制關(guān)鍵詞的語法：

restrict 127.0.0.1

restrict -6 ::1

二.配置/etc/ntp/stpe-tickers文件
修改/etc/ntp/stpe-tickers文件，內(nèi)容如下（當(dāng)ntpd服務(wù)啟動時，會自動與該文件中記錄的上層NTP服務(wù)進(jìn)行時間校對）
   

關(guān)于ntp.conf and step-tickers區(qū)別：

step-tickers is used by ntpdate where as ntp.conf is the configuration file for the ntpd daemon. ntpdate is initially run to set the clock before ntpd to make sure time is within 1000 sec. ntp will not run if the time difference between the server and client by more then 1000 sec ( or there about). The start up script will read step-tickers for servers to be polled by ntpdate.

三. 配置/etc/sysconfig/ntpd文件

ntp服務(wù)，默認(rèn)只會同步系統(tǒng)時間。如果想要讓ntp同時同步硬件時間，可以設(shè)置/etc/sysconfig/ntpd文件，在/etc/sysconfig/ntpd文件中，添加 SYNC_HWCLOCK=yes 這樣，就可以讓硬件時間與系統(tǒng)時間一起同步。

#允許BIOS與系統(tǒng)時間同步，也可以通過hwclock -w 命令

SYNC_HWCLOCK=yes
四.防火墻配置

由于NTP服務(wù)需要使用到UDP端口號123，所以當(dāng)系統(tǒng)的防火墻（Iptables）啟動的情況下，必須開放UDP端口號123。
# /sbin/iptables -I INPUT -p udp --dport 123 -j ACCEPT

#/etc/init.d/iptables restart
如果是firewall防火墻

# firewall-cmd --add-port=80123/udp –permanent
# firewall-cmd --reload

五.啟動ntp服務(wù)

1. 啟動ntp服務(wù)
#service ntpd  status

#service ntpd start

#chkconfig –list ntpd

#chkconfig ntpd on    #在運(yùn)行級別2、3、4、5上設(shè)置為自動運(yùn)行

2. 查看ntp服務(wù)器有無和上層ntp連通
   
3. 查看ntp服務(wù)器與上層ntp的狀態(tài) 
         
    remote   - 本機(jī)和上層ntp的ip或主機(jī)名，“+”表示優(yōu)先，“*”表示次優(yōu)先

refid    - 參考上一層ntp主機(jī)地址

st       - stratum階層

when     - 多少秒前曾經(jīng)同步過時間

poll     - 下次更新在多少秒后

reach    - 已經(jīng)向上層ntp服務(wù)器要求更新的次數(shù)

delay    - 網(wǎng)絡(luò)延遲

offset   - 時間補(bǔ)償

jitter   - 系統(tǒng)時間與bios時間差
4. 要查看 ntpd 進(jìn)程的狀態(tài)，請運(yùn)行以下命令，按 Ctrl+C 停止查看進(jìn)程。

     第一列中的字符指示源的質(zhì)量。星號 ( * ) 表示該源是當(dāng)前引用。

remote 列出源的 IP 地址或主機(jī)名。

when   指出從輪詢源開始已過去的時間（秒）。

poll   指出輪詢間隔時間。該值會根據(jù)本地時鐘的精度相應(yīng)增加。

reach  是一個八進(jìn)制數(shù)字，指出源的可存取性。值 377 表示源已應(yīng)答了前八個連續(xù)輪詢。

offset 是源時鐘與本地時鐘的時間差（毫秒）。

六．ntpd、ntpdate的區(qū)別

下面是網(wǎng)上關(guān)于ntpd與ntpdate區(qū)別的相關(guān)資料。如下所示所示：

使用之前得弄清楚一個問題，ntpd與ntpdate在更新時間時有什么區(qū)別。ntpd不僅僅是時間同步服務(wù)器，它還可以做客戶端與標(biāo)準(zhǔn)時間服務(wù)器進(jìn)行同步時間，而且是平滑同步，并非ntpdate立即同步，在生產(chǎn)環(huán)境中慎用ntpdate，也正如此兩者不可同時運(yùn)行。

時鐘的躍變，對于某些程序會導(dǎo)致很嚴(yán)重的問題。許多應(yīng)用程序依賴連續(xù)的時鐘——畢竟，這是一項(xiàng)常見的假定，即，取得的時間是線性的，一些操作，例如數(shù)據(jù)庫事務(wù)，通常會地依賴這樣的事實(shí)：時間不會往回跳躍。不幸的是，ntpdate調(diào)整時間的方式就是我們所說的”躍變“：在獲得一個時間之后，ntpdate使用settimeofday(2)設(shè)置系統(tǒng)時間，這有幾個非常明顯的問題：

第一，這樣做不安全。ntpdate的設(shè)置依賴于ntp服務(wù)器的安全性，攻擊者可以利用一些軟件設(shè)計(jì)上的缺陷，拿下ntp服務(wù)器并令與其同步的服務(wù)器執(zhí)行某些消耗性的任務(wù)。由于ntpdate采用的方式是跳變，跟隨它的服務(wù)器無法知道是否發(fā)生了異常（時間不一樣的時候，唯一的辦法是以服務(wù)器為準(zhǔn)）。

第二，這樣做不精確。一旦ntp服務(wù)器宕機(jī)，跟隨它的服務(wù)器也就會無法同步時間。與此不同，ntpd不僅能夠校準(zhǔn)計(jì)算機(jī)的時間，而且能夠校準(zhǔn)計(jì)算機(jī)的時鐘。

第三，這樣做不夠優(yōu)雅。由于是跳變，而不是使時間變快或變慢，依賴時序的程序會出錯（例如，如果ntpdate發(fā)現(xiàn)你的時間快了，則可能會經(jīng)歷兩個相同的時刻，對某些應(yīng)用而言，這是致命的）。因而，唯一一個可以令時間發(fā)生跳變的點(diǎn)，是計(jì)算機(jī)剛剛啟動，但還沒有啟動很多服務(wù)的那個時候。其余的時候，理想的做法是使用ntpd來校準(zhǔn)時鐘，而不是調(diào)整計(jì)算機(jī)時鐘上的時間。

NTPD 在和時間服務(wù)器的同步過程中，會把 BIOS 計(jì)時器的振蕩頻率偏差——或者說 Local Clock 的自然漂移(drift)——記錄下來。這樣即使網(wǎng)絡(luò)有問題，本機(jī)仍然能維持一個相當(dāng)精確的走時。