Назад | Перейти на главную страницу

Что следует учитывать при запуске общедоступных серверов NTP

Итак, недавно меня осенило, что, поскольку в моей сети есть 3 GPS-часов, технически я могу отдать немного и обслужить время для остального мира. До сих пор я не видел недостатков этой идеи, но у меня есть следующие вопросы;

  1. Могу я виртуализировать это? Я не собираюсь тратить деньги и время на установку оборудования для этого, поэтому виртуализация просто необходима. Поскольку серверы будут иметь доступ к трем источникам уровня 1, я не понимаю, как это может быть проблемой, если конфигурация ntpd верна.

  2. Какой трафик обычно видит общедоступный NTP-сервер (часть pool.ntp.org)? И какого размера виртуальные машины мне для этого нужны? Насколько я понимаю, ntpd не должен быть слишком ресурсоемким, но я бы предпочел знать заранее.

  3. Какие существуют аспекты безопасности для этого? Я думаю просто установить ntpd на двух виртуальных машинах в DMZ, разрешить только ntp через FW и только ntp из DMZ на внутренние серверы ntp. Также, похоже, есть некоторые настройки ntp, которые рекомендуются в соответствии со страницей пула NTP, но достаточно ли их? https://www.ntppool.org/join/configuration.html

  4. Они рекомендуют не настраивать ЛОКАЛЬНЫЙ драйвер часов, эквивалентно ли это удалению конфигурации ЛОКАЛЬНОГО источника времени из файлов конфигурации?

  5. Что еще нужно учесть?

Во-первых, хорошо для вас; это полезный и общественный поступок. Тем не менее, и с учетом вашего пояснения, что вы планируете создать одну или несколько виртуальных машин DMZ, которые будут синхронизироваться с вашими тремя (внутренними) серверами Meinberg GPS stratum-1 и сделать их общедоступными:

  1. редактировать: Виртуализация обсуждается на список пула временами; последнее было в июле 2015 года, за которым можно следить, начиная с это письмо. Спросите Бьёрна Хансена, руководителя проекта, опубликовать в теме, и не высказался против виртуализации. Очевидно, что ряд операторов серверов пула виртуализируют прямо сейчас, поэтому я не думаю, что кто-то застрелит вас за это, и, как ясно дает понять один плакат, если ваш сервер (ы) ненадежен, система мониторинга пула просто удалит их из бассейн. KVM кажется предпочтительной технологией виртуализации; Я не нашел никого, кто бы использовал VMWare специально, поэтому не могу прокомментировать, насколько «честной» является виртуализация. Возможно, лучшее резюме по теме сказал

    Мои серверы пула виртуализированы с помощью KVM на моих собственных хостах KVM. Мониторинг говорит, что сервер довольно точен и обеспечивает стабильное время работы в течение последних 2-3 лет. Но я бы не стал устанавливать пул-сервер на арендованном виртуальном сервере у другого провайдера.

  2. Это среднее ежедневное количество отдельных клиентов в секунду, которое я вижу на своем сервере пула (который находится в Великобритании, Европе и мире) за последний год:

    Это практически не накладывает заметной нагрузки на систему (ntpd кажется, большую часть времени использует от 1% до 2% ЦП). Обратите внимание, что в какой-то момент в течение года нагрузка на короткое время достигла пика почти в тысячу клиентов в секунду (макс .: 849,27); Я отслеживаю чрезмерную нагрузку, и не все сигналы тревоги срабатывают, поэтому могу только отметить, что даже такой уровень нагрузки не вызвал проблем, хотя и ненадолго.

  3. Конфигурации, рекомендованные проектом, являются наилучшей практикой и работают для меня. Я также использую iptables для ограничения скорости клиентов двумя входящими пакетами в скользящем десятисекундном окне (это удивительный сколько там грубых клиентов, которые думают, что они должны иметь право взорваться, чтобы быстро установить свои собственные часы).

  4. Или удалите все строки, относящиеся к адресам серверов, начиная с 127.127.

  5. Рекомендации по передовой практике также рекомендуют использовать более трех часов, поэтому вы можете выбрать пару других общедоступных серверов или определенных серверов пула в дополнение к вашим трем серверам stratum-1.

    Я также хотел бы отметить, что если вы планируете разместить обе эти виртуальные машины на одном и том же оборудовании хоста, вам, вероятно, следует просто запустить одну, но удвоить пропускную способность, объявленную для пула (т. Е. Принять вдвое больше запросов, чем в противном случае. ).

Во-первых, поздравляю с вопросом NTP, который не связан с фейспалмом. :-) Я включил несколько графиков внизу этого поста, чтобы вы могли почувствовать это. Рассматриваемая виртуальная машина настроена на 100 Мбит / с в панели управления пулом и находится в Великобритании, Европе и глобальных пулах.

  1. Я думаю, что MadHatter хорошо справился с этим - виртуализация должна подойти. Как вы говорите, если они питаются от вашего подключенного к GPS уровня 1, они должны быть достаточно надежными. По моему опыту, виртуальные машины, как правило, немного более нервные, чем голый металл, с точки зрения частоты (см. График ниже), но это то, что вы ожидаете - они имеют дело со слоем эмуляции часов (надеюсь, довольно эффективным) и потенциально шумным. соседи. Если вы предпочитаете не видеть такого рода скачков, возможно, вместо этого используйте старые серверы или неиспользуемые рабочие столы в качестве слоя 2 DMZ.

  2. Эта виртуальная машина имеет 1 ядро, 2 ГБ ОЗУ, работает под управлением Ubuntu 16.04 LTS, виртуализирована в OpenStack (гипервизор KVM). Как видите, ОЗУ немного переборщило.

  3. Рекомендуемые настройки, в том числе отсутствие настроенного локального драйвера, являются настройками по умолчанию в Ubuntu 16.04. Я работаю очень близко к стандартной конфигурации, кроме списка пиров.

  4. (см. выше)

  5. Я бы, вероятно, начал пропускную способность с низкой стороны и увеличил пропускную способность после того, как вы немного понаблюдали за ней. Если все ваши виртуальные машины находятся рядом друг с другом и рядом с вашим слоем 1 с точки зрения задержки в сети, я бы, вероятно, велел бы всем виртуальным машинам общаться со всеми слоями 1 и, вероятно, связать их друг с другом и также включить сиротский режим.

Вот графики - все они охватывают один и тот же период примерно в 3 недели, за исключением сетевого, у которого было несколько всплесков из-за резервного копирования. Когда были скачки в сети, я даже не мог видеть нормальный трафик NTP, поэтому немного увеличил масштаб, чтобы показать обычный фон.

ЦПУ объем памяти Сеть Частота Системное смещение

Некоторые вещи, которые следует учитывать при использовании NTP

Здесь уже есть несколько хороших ответов. Я просто добавляю несколько мыслей для полноты картины, основанных на моем собственном опыте.

Я бы предложил включить ведение журнала NTP и искажения и исправления часов графика на голом железе по сравнению с виртуальной машиной, поскольку это относится к этому обсуждению, если это вызывает беспокойство. Я не верю, что это можно легко обобщить, поскольку оборудование и конфигурация различаются в зависимости от реализации. Возможно, лучше будет получить свои собственные числа на этом.

Я всегда предлагал людям выбирать системные роли серверов или сетевых устройств, которые имеют довольно постоянное время ЦП и не являются ядрами без тиков или имеют включенные режимы энергосбережения. Особенно избегайте демонов линии cpuspeed или регуляторов скорости или расширенного энергосбережения на серверах NTP, даже если они являются только слоем 2 в вашей ферме. Некоторая стабильность может быть достигнута, если никогда не заходить глубже, чем C-State 1, но потребление энергии возрастет.

Я также стараюсь гарантировать, что люди выберут несколько серверов уровня 1, которые находятся на расстоянии менее 40 мс от границы их сети, затем разделят их между вашими пограничными серверами NTP и убедитесь, что нет двух серверов за одним и тем же SNAT в вашей сети разговаривают с одним и тем же сервером уровня 1. В том же духе, что и burst, неразумно иметь несколько серверов за одним и тем же SNAT с использованием одних и тех же восходящих серверов, так как им будет казаться, что вы включили пакетную передачу, даже если вы этого не сделали.

Вы всегда должны уважать kod пакет от вышестоящего сервера и иметь инструменты мониторинга, проверяющие временные сдвиги и достижимость вышестоящих серверов.

Вы может хотите рассмотреть возможность наличия ваших собственных источников точного времени в нескольких ваших центрах обработки данных, с которыми можно взаимодействовать или использовать в маловероятном случае, когда GPS SA будет активирована военными. Специально для этого есть экономичная техника. Даже если вы находитесь в «клеточной» среде и не имеете собственного центра обработки данных, некоторые средства хостинга могут это приспособить.

См. Документ хронометража vmware по адресу http://www.vmware.com/pdf/vmware_timekeeping.pdf

Запуск демона NTP на виртуальной машине, вероятно, не лучшая идея, особенно если вам нужно точное время.

Вот хороший КБ от VMware с актуальными параметрами конфигурации для разных дистрибутивов Linux.

https://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1006427