Synchronisation de l'heure à l'aide du protocole NTP/NTS

Le protocole NTP (Network Time Protocol) est conçu pour synchroniser l'heure système sur le réseau. Son objectif est de conserver l'heure absolue et de l'utiliser pour synchroniser l'heure système de toutes les machines d'un réseau.

NTS (Network Time Security) est une extension de sécurité de NTP. NTS fournit des mécanismes pour authentifier les messages NTP et les chiffrer, ce qui garantit que les données horaires reçues sont à la fois sécurisées et authentiques. NTS est conçu pour permettre une rétrocompatibilité avec l'infrastructure NTP existante. Cela permet un déploiement progressif sans nécessiter de modifications sur les serveurs NTP existants qui ne prennent pas en charge NTS.

Lorsque le service NTP est correctement configuré, il interroge et ajuste en permanence l'heure système avec des serveurs horaires fiables. Généralement, les ordinateurs personnels et les autres périphériques connectés à Internet sont configurés pour interroger un serveur horaire public sur Internet.

Figure 1 : Périphériques individuels interrogeant un serveur horaire public #

 

À l'inverse, les ordinateurs de bureau et les serveurs qui résident dans un sous-réseau d'entreprise sont configurés pour interroger un serveur horaire dédié au sein du réseau local. Le serveur horaire proprement dit synchronise son heure avec un serveur horaire public.

Figure 2 : Plusieurs hôtes interrogeant un serveur horaire interne #

 

L'utilisation de NTP pour maintenir l'heure exacte présente les avantages suivants :

Pour que l'horloge de l'ordinateur reste synchronisée, vous devez indiquer à chronyd les sources horaires à utiliser. Pour ce faire, utilisez les directives server, pool et peer. Vous pouvez utiliser chacune d'elles plusieurs fois.

La directive server indique à chronyd d'utiliser un hôte spécifique comme serveur horaire par son nom ou son adresse IP.

server 0.europe.pool.ntp.org offline1
server 1.europe.pool.ntp.org offline prefer2
server 192.168.2.254

La directive pool vous permet de spécifier un nom de réseau qui se résout en plusieurs adresses IP susceptibles de changer au fil du temps.

pool pool.ntp.org iburst1 maxsources 32

La directive peer spécifie un hôte homologue NTP au lieu d'un serveur horaire. La synchronisation horaire du système entre homologues utilise une architecture symétrique au lieu du mode client/serveur invoqué par les options server et pool. Vous pouvez utiliser peer plusieurs fois pour spécifier plusieurs homologues.

peer 192.168.1.116
peer ntp.example.com

Par défaut, chronyd fonctionne comme un client pour les serveurs NTP spécifiés. Pour qu'il fonctionne comme serveur NTP également, ajoutez la directive allow au fichier /etc/chrony.conf. Elle ouvre le port du serveur NTP (123 par défaut) et répond aux requêtes des clients.

Vous pouvez spécifier une adresse IP unique pour un client NTP ou un sous-réseau pour inclure plusieurs clients. Vous pouvez utiliser la directive allow plusieurs fois :

allow 1.2.3.4
allow 3.4.5.0/24

Astuce

Si vous ne spécifiez pas d'adresse IP ou de sous-réseau, la directive allow autonome autorise l'accès à partir de toutes les adresses IPv4 et IPv6.

Pour limiter l'accès de la directive allow précédente, utilisez la directive deny :

allow 1.2.3.4
deny 1.2.3.0/24
allow 1.2.0.0/16

Dans l'exemple ci-dessus, l'effet est identique quel que soit l'ordre des trois directives. Le sous-réseau 1.2.0.0/16 est autorisé à accéder mais pas le sous-réseau 1.2.3.0/24, auquel l'accès est refusé. L'accès est toutefois autorisé à l'hôte 1.2.3.4.

chronyd se base sur d'autres programmes (tels que gpsd) pour accéder aux données de synchronisation via un pilote spécifique. Utilisez la directive refclock dans /etc/chrony.conf pour spécifier une horloge de référence matérielle à utiliser comme source horaire. Elle comporte deux paramètres obligatoires : un nom de pilote et un paramètre spécifique au pilote. Les deux paramètres sont suivis de zéro ou plusieurs options refclock. chronyd comprend les pilotes suivants :

Astuce

Pour plus d'informations sur les options des différents pilotes, reportez-vous à la commande man 8 chrony.conf.

Même s'il se lance normalement sur un système qui démarre sans connexion réseau, chronyd ne peut pas accéder aux serveurs horaires spécifiés dans /etc/chrony.conf. Pour empêcher chronyd de tenter d'interroger des serveurs horaires inaccessibles, utilisez l'option offline derrière la directive de source horaire, par exemple :

server ntp.example.org offline

Dans ce cas, chronyd ne tente pas d'interroger le serveur tant qu'il n'est pas activé à l'aide de la commande suivante :

# chronyc online ntp.example.org

Astuce

Lorsque l'option auto_offline est définie à la place de offline, chronyd suppose que le serveur horaire est hors ligne si deux requêtes lui ont été envoyées sans réponse. Cette option évite d'avoir à exécuter la commande offline à partir de chronyc lors de la déconnexion de la liaison réseau.

chronyc est la partie client de l'implémentation NTP chrony. Vous pouvez utiliser la commande chronyc pour modifier le comportement du service chronyd lors de l'exécution. Elle génère également des rapports d'état sur le fonctionnement de chronyd.

Note : modifications temporaires

Les modifications apportées à l'aide de chronyc ne sont pas permanentes. Elles seront perdues au prochain redémarrage de chronyd. Pour que les changements soient permanents, modifiez /etc/chrony.conf comme décrit à la Section 2, « Configuration de NTP en ajustant /etc/chrony.conf ».

Vous pouvez exécuter chronyc en mode interactif ou non interactif. Pour exécuter chronyc de manière interactive, entrez chronyc sur la ligne de commande, puis appuyez sur Entrée. Une invite s'affiche et attend que vous entriez une commande. Par exemple, pour vérifier combien de sources NTP sont en ligne ou hors ligne, exécutez la commande activity :

# chronyc
chronyc> activity
200 OK
4 sources online
2 sources offline
1 sources doing burst (return to online)
1 sources doing burst (return to offline)
0 sources with unknown address

Pour quitter l'invite de chronyc, entrez quit ou exit.

Si vous n'avez pas besoin d'utiliser l'invite interactive, entrez la commande directement, par exemple :

# chronyc activity