У нас есть проект, в котором целевая архитектура синхронизации времени NTP следующая:
Вся синхронизация NTP должна быть аутентифицирована с помощью Autokey IFF.
В нашей лаборатории мы моделируем целевую архитектуру на следующих трех машинах:
В терминологии Autokey машины выполняют следующие роли:
Машины синхронизируются правильно и не сообщают об ошибках. Однако для vm-centos7-cli не установлен флаг IFF, т.е. он имеет «flags = 0x87f03» вместо ожидаемого «flags = 0x87f23».
Кроме того, если мы удалим все ключи (хост и группу) на «vm-centos7-srv», сгенерируем все заново и перезапустим ntpd, другие машины продолжат синхронизацию, аутентификацию и доверие этому хосту. Это означает, что аутентификация Autokey бесполезна, поскольку любой мошеннический сервер может выдавать себя за машину уровня 1.
При упрощении конфигурации путем синхронизации «vm-centos7-cli» напрямую с «vm-centos7-srv» флаг IFF устанавливается на «vm-centos7-cli». Флаги становятся 0x417f21 (не знаю, почему префикс другой, 41 вместо 8). Однако в этом случае, даже когда файл параметров группы удален с клиента и перезапущен ntpd, флаги остаются прежними, хотя IFF не должен работать.
Конфигурация обеих виртуальных машин CentOS 7 была выполнена согласно официальной странице ntpd: http://support.ntp.org/bin/view/Support/ConfiguringAutokey
Параметр "-c RSA-SHA1" был добавлен к командам ntp-keygen.
Извините за эту стену текста и заранее благодарим за любую информацию и помощь.