108.1 Leçon 2

Certification :

LPIC-1 (102)

Version :

5.0

Thème :

108 Services Systèmes Essentiels

Objectif :

108.1 Maintenir l’heure du système

Leçon :

2 sur 2

Introduction

Les ordinateurs personnels sont capables de conserver l’heure de manière raisonnablement précise, mais les environnements informatiques de production et de réseau requièrent une très grande précision de l’heure. Le temps le plus précis est mesuré par des horloges de référence, qui sont typiquement des horloges atomiques. Le monde moderne a conçu un système dans lequel tous les systèmes informatiques connectés à Internet peuvent être synchronisés avec ces horloges de référence grâce à ce que l’on appelle le protocole de temps réseau ou Network Time Protocol (NTP). Un système informatique doté du protocole NTP sera en mesure de synchroniser ses horloges système avec le temps fourni par ces horloges de référence. Si l’heure du système et l’heure mesurée sur ces serveurs sont différentes, l’ordinateur accélère ou ralentit progressivement l’heure système interne jusqu’à ce que celle-ci corresponde à l’heure du réseau.

NTP utilise une structure hiérarchique pour diffuser le temps. Les horloges de référence sont connectées à des serveurs situés au sommet de la hiérarchie. Ces serveurs sont des machines stratum 1 et ne sont normalement pas accessibles au public. Les machines stratum 1 sont toutefois accessibles aux machines stratum 2, qui sont accessibles aux machines stratum 3, et ainsi de suite. Les serveurs stratum 2 sont accessibles au public, de même que toutes les machines situées plus bas dans la hiérarchie. Lors de la mise en place du protocole NTP pour un réseau important, une bonne pratique consiste à faire en sorte qu’un petit nombre d’ordinateurs se connectent aux serveurs stratum 2+ et que ces machines fournissent le protocole NTP à toutes les autres machines. De cette manière, il est possible de minimiser les demandes sur les machines stratum 2.

Il existe un certain nombre de termes importants qui reviennent régulièrement lorsqu’il est question de NTP. Quelques-uns de ces termes sont utilisés dans les commandes que nous utiliserons pour suivre l’état de NTP sur nos machines :

Offset: Il s’agit de la différence absolue entre l’heure système et l’heure NTP. Par exemple, si l’horloge système indique 12:00:02 et l’heure NTP 11:59:58, le décalage (offset) entre les deux horloges sera de quatre secondes.
Step: Si le décalage du temps entre le serveur NTP et un client est supérieur à 128 ms, NTP va procéder à un seul changement significatif de l’heure système, au lieu de ralentir ou d’accélérer l’heure système. C’est ce qu’on appelle le stepping.
Slew: Le slewing fait référence aux changements apportés à l’heure système lorsque le décalage entre l’heure système et celle de NTP est inférieur à 128 ms. Dans ce cas, les changements s’effectuent progressivement. On parle alors de slewing.
Insane Time: Si le décalage entre l’heure système et l’heure NTP est supérieur à 17 minutes, l’heure système est considérée comme insane (insensée) et le démon NTP n’introduira aucun changement à l’heure système. Des mesures spéciales devront être prises pour ramener l’heure système à moins de 17 minutes de l’heure correcte.
Drift: Le drift (dérive) désigne le phénomène par lequel deux horloges se désynchronisent au fil du temps. En fait, si deux horloges sont initialement synchronisées, mais qu’elles se désynchronisent avec le temps, il y a une dérive de l’horloge.
Jitter: Le jitter (gigue) fait référence à la quantité de drift (dérive) depuis la dernière fois qu’une horloge a été sollicitée. Si la dernière synchronisation NTP a eu lieu il y a 17 minutes et que le décalage entre le serveur NTP et le client est de 3 millisecondes, le jitter est de 3 millisecondes.

Nous allons maintenant passer en revue quelques-unes des méthodes spécifiques utilisées par Linux pour mettre en œuvre le protocole NTP.

timedatectl

Si votre distribution Linux utilise timedatectl, elle implémente par défaut un client SNTP plutôt qu’une implémentation NTP complète. Il s’agit d’une implémentation moins complexe de l’heure réseau et cela signifie que votre machine ne va pas servir du NTP à d’autres ordinateurs connectés.

Dans ce cas, SNTP ne va pas fonctionner si le service timesyncd n’est pas en cours d’exécution. Comme pour tous les services systemd, nous pouvons vérifier qu’il est lancé avec :

$ systemctl status systemd-timesyncd
● systemd-timesyncd.service - Network Time Synchronization
   Loaded: loaded (/lib/systemd/system/systemd-timesyncd.service; enabled; vendor preset: enabled)
  Drop-In: /lib/systemd/system/systemd-timesyncd.service.d
           └─disable-with-time-daemon.conf
   Active: active (running) since Thu 2020-01-09 21:01:50 EST; 2 weeks 1 days ago
     Docs: man:systemd-timesyncd.service(8)
 Main PID: 1032 (systemd-timesyn)
   Status: "Synchronized to time server for the first time 91.189.89.198:123 (ntp.ubuntu.com)."
    Tasks: 2 (limit: 4915)
   Memory: 3.0M
   CGroup: /system.slice/systemd-timesyncd.service
           └─1032 /lib/systemd/systemd-timesyncd

Jan 11 13:06:18 NeoMex systemd-timesyncd[1032]: Synchronized to time server for the first time 91.189.91.157:123 (ntp.ubuntu.com).
...

L’état de la synchronisation SNTP de timedatectl peut être vérifié en utilisant show-timesync :

$ timedatectl show-timesync --all
LinkNTPServers=
SystemNTPServers=
FallbackNTPServers=ntp.ubuntu.com
ServerName=ntp.ubuntu.com
ServerAddress=91.189.89.198
RootDistanceMaxUSec=5s
PollIntervalMinUSec=32s
PollIntervalMaxUSec=34min 8s
PollIntervalUSec=34min 8s
NTPMessage={ Leap=0, Version=4, Mode=4, Stratum=2, Precision=-23, RootDelay=8.270ms, RootDispersion=18.432ms, Reference=91EECB0E, OriginateTimestamp=Sat 2020-01-25 18:35:49 EST, ReceiveTimestamp=Sat 2020-01-25 18:35:49 EST, TransmitTimestamp=Sat 2020-01-25 18:35:49 EST, DestinationTimestamp=Sat 2020-01-25 18:35:49 EST, Ignored=no PacketCount=263, Jitter=2.751ms }
Frequency=-211336

Cette configuration peut suffire dans la plupart des cas, mais comme nous l’avons déjà dit, elle sera inadaptée si l’on souhaite synchroniser plusieurs clients dans un réseau. Dans ce cas, il est recommandé d’installer un client NTP complet.

Le service NTP

L’heure système est comparée à l’heure du réseau à intervalles réguliers. Pour que cela fonctionne, il faut qu’un démon (daemon) tourne en arrière-plan. Pour de nombreux systèmes Linux, le nom de ce démon est ntpd. ntpd permet à une machine d’être non seulement un consommateur de temps (c’est-à-dire capable de synchroniser sa propre horloge avec une source extérieure), mais aussi de fournir du temps à d’autres machines.

Admettons que notre ordinateur soit basé sur systemd et qu’il utilise systemctl pour contrôler les démons. Nous allons installer les paquets ntp en utilisant le gestionnaire de paquets approprié, puis nous assurer que notre démon ntpd fonctionne en vérifiant son état :

$ systemctl status ntpd

●  ntpd.service - Network Time Service
   Loaded: loaded (/usr/lib/systemd/system/ntpd.service; enabled; vendor preset: disabled)
   Active: active (running) since Fri 2019-12-06 03:27:21 EST; 7h ago
  Process: 856 ExecStart=/usr/sbin/ntpd -u ntp:ntp $OPTIONS (code=exited, status=0/SUCCESS)
 Main PID: 867 (ntpd)
   CGroup: /system.slice/ntpd.service
           `-867 /usr/sbin/ntpd -u ntp:ntp -g

Dans certains cas, il peut être nécessaire de démarrer et d’activer ntpd. Sur la plupart des machines Linux, cela se fait avec :

# systemctl enable ntpd && systemctl start ntpd

Les requêtes NTP sont effectuées sur le port TCP 123. Si NTP échoue, assurez-vous que ce port est ouvert et en écoute.

Configuration NTP

NTP est capable d’interroger plusieurs sources et de sélectionner les meilleurs candidats à utiliser pour régler l’heure système. En cas de perte de connexion réseau, NTP utilise les ajustements précédents dans son historique pour évaluer les ajustements à venir.

Selon votre distribution Linux, la liste des serveurs de temps du réseau sera stockée à un endroit différent. Admettons que ntp soit installé sur votre machine.

Le fichier /etc/ntp.conf contient des informations de configuration sur la façon dont votre système se synchronise avec l’heure du réseau. Ce fichier peut être lu et modifié en utilisant vi ou nano.

Par défaut, les serveurs NTP utilisés seront spécifiés dans une section comme celle-ci :

# Use public servers from the pool.ntp.org project.
# Please consider joining the pool (http://www.pool.ntp.org/join.html).
server 0.centos.pool.ntp.org iburst
server 1.centos.pool.ntp.org iburst
server 2.centos.pool.ntp.org iburst
server 3.centos.pool.ntp.org iburst

Voici la syntaxe pour ajouter des serveurs NTP :

server (IP Address)
server server.url.localhost

Les adresses de serveurs peuvent être des adresses IP ou des URL si le DNS a été correctement configuré. Dans ce cas, le serveur sera toujours interrogé.

Un administrateur réseau peut également envisager d’utiliser (ou de mettre en place) un pool. Dans ce cas, nous supposons qu’il existe plusieurs fournisseurs NTP, qui exécutent tous des démons NTP et qui sont réglés à la même heure. Lorsqu’un client interroge un pool, un fournisseur est sélectionné au hasard. Cela permet de répartir la charge du réseau entre plusieurs machines, de manière à ce qu’aucune machine du pool ne traite toutes les requêtes NTP.

De manière générale, /etc/ntp.conf sera rempli avec un pool de serveurs appelé pool.ntp.org. Par exemple, server 0.centos.pool.ntp.org est un pool NTP par défaut fourni aux machines CentOS.

pool.ntp.org

Les serveurs NTP utilisés par défaut sont un projet open source. De plus amples informations sont disponibles à l’adresse suivante : ntppool.org.

Réfléchissez à la pertinence du pool NTP pour votre utilisation. Si votre entreprise, votre organisation ou la vie humaine dépendent de l’exactitude de l’heure ou peuvent être affectées par une heure erronée, vous ne devriez pas vous contenter de la trouver sur Internet. Le pool NTP est généralement de très bonne qualité, mais il s’agit d’un service géré par des bénévoles pendant leur temps libre. Veuillez vous adresser à vos fournisseurs d’équipement et de services pour obtenir un service local et fiable. Consultez également nos conditions d’utilisation. Nous recommandons les serveurs de temps de Meinberg, mais vous pouvez également trouver des serveurs de temps de End Run, Spectracom et bien d’autres.

— ntppool.org

ntpdate

Lors de la configuration initiale, l’heure système et l’heure NTP peuvent être sérieusement désynchronisées. Si le décalage entre l’heure système et l’heure NTP est supérieur à 17 minutes, le démon NTP ne modifiera pas l’heure système. Dans ce cas, une intervention manuelle sera nécessaire.

Tout d’abord, si ntpd est en cours d’exécution, il faudra arrêter le service. Utilisez systemctl stop ntpd pour ce faire.

Ensuite, utilisez ntpdate pool.ntp.org pour effectuer une première synchronisation ponctuelle, où pool.ntp.org fait référence à l’adresse IP ou à l’URL d’un serveur NTP. Plusieurs synchronisations sont parfois nécessaires.

ntpq

ntpq est un outil qui permet de surveiller l’état de NTP. Une fois que le démon NTP a été démarré et configuré, ntpq peut être utilisé pour vérifier son état :

$ ntpq -p
     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
+37.44.185.42    91.189.94.4      3 u   86  128  377  126.509  -20.398   6.838
+ntp2.0x00.lv    193.204.114.233  2 u   82  128  377  143.885   -8.105   8.478
*inspektor-vlan1 121.131.112.137  2 u   17  128  377  112.878  -23.619   7.959
 b1-66er.matrix. 18.26.4.105      2 u  484  128   10   34.907   -0.811  16.123

Dans ce cas, -p correspond à print et affiche un résumé des serveurs. Les adresses des hôtes peuvent également être retournées sous forme d’adresses IP en utilisant -n.

remote: nom d’hôte du fournisseur NTP.
refid: ID de référence du fournisseur NTP.
st: Stratum du fournisseur.
when: Nombre de secondes depuis la dernière requête.
poll: Nombre de secondes entre les requêtes.
reach: ID d’état indiquant si un serveur a été atteint. Les connexions réussies vont augmenter ce nombre de 1.
delay: Temps en ms entre la requête et la réponse du serveur.
offset: Temps en ms entre l’heure système et l’heure NTP.
jitter: Décalage en ms entre l’heure système et l’heure NTP lors de la dernière requête.

ntpq a également un mode interactif, auquel on accède lorsqu’il est exécuté sans option ni argument. L’option ? retournera une liste de commandes que ntpq reconnaîtra.

chrony

chrony est une autre façon d’implémenter NTP. Il est installé par défaut sur certains systèmes Linux et peut être téléchargé sur toutes les distributions majeures. chronyd correspond au démon chrony, et chronyc est l’interface en ligne de commande. Il faut parfois démarrer et d’activer chronyd avant d’interagir avec chronyc.

Si l’installation de chrony a une configuration par défaut, l’utilisation de la commande chronyc tracking fournira des informations sur l’heure NTP et l’heure système :

$ chronyc tracking
Reference ID    : 3265FB3D (bras-vprn-toroon2638w-lp130-11-50-101-251-61.dsl.)
Stratum         : 3
Ref time (UTC)  : Thu Jan 09 19:18:35 2020
System time     : 0.000134029 seconds fast of NTP time
Last offset     : +0.000166506 seconds
RMS offset      : 0.000470712 seconds
Frequency       : 919.818 ppm slow
Residual freq   : +0.078 ppm
Skew            : 0.555 ppm
Root delay      : 0.006151616 seconds
Root dispersion : 0.010947504 seconds
Update interval : 129.8 seconds
Leap status     : Normal

Ce résultat contient beaucoup d’informations, plus que ce qui est disponible dans d’autres implémentations.

Reference ID: L’ID et le nom de la référence avec laquelle l’ordinateur est actuellement synchronisé.
Stratum: Nombre de sauts vers un ordinateur doté d’une horloge de référence.
Ref time: L’heure UTC à laquelle la dernière mesure de la source de référence a été effectuée.
System time: Retard de l’horloge système par rapport au serveur synchronisé.
Last offset: Estimation du décalage de la dernière mise à jour de l’horloge.
RMS offset: Moyenne à long terme de la valeur du décalage.
Frequency: C’est la vitesse à laquelle l’horloge système se tromperait si chronyd ne la corrigeait pas. Elle est exprimée en ppm (parties par million).
Residual freq: Fréquence résiduelle indiquant la différence entre les mesures de la source de référence et la fréquence actuellement utilisée.
Skew: Limite d’erreur estimée de la fréquence.
Root delay: Total des délais du réseau jusqu’à l’ordinateur stratum, à partir duquel l’ordinateur est synchronisé.
Leap status: Il s’agit de l’état du saut qui peut prendre l’une des valeurs suivantes : normal, insertion d’une seconde, suppression d’une seconde ou non synchronisé.

Nous pouvons également consulter les informations détaillées concernant la dernière mise à jour NTP valide :

# chrony ntpdata
Remote address  : 172.105.97.111 (AC69616F)
Remote port     : 123
Local address   : 192.168.122.81 (C0A87A51)
Leap status     : Normal
Version         : 4
Mode            : Server
Stratum         : 2
Poll interval   : 6 (64 seconds)
Precision       : -25 (0.000000030 seconds)
Root delay      : 0.000381 seconds
Root dispersion : 0.000092 seconds
Reference ID    : 61B7CE58 ()
Reference time  : Mon Jan 13 21:50:03 2020
Offset          : +0.000491960 seconds
Peer delay      : 0.004312567 seconds
Peer dispersion : 0.000000068 seconds
Response time   : 0.000037078 seconds
Jitter asymmetry: +0.00
NTP tests       : 111 111 1111
Interleaved     : No
Authenticated   : No
TX timestamping : Daemon
RX timestamping : Kernel
Total TX        : 15
Total RX        : 15
Total valid RX  : 15

Enfin, chronyc sources renvoie des informations sur les serveurs NTP utilisés pour synchroniser le temps :

$ chronyc sources
210 Number of sources = 0
MS Name/IP address         Stratum Poll Reach LastRx Last sample
===============================================================================

Pour l’instant, cette machine n’a pas de sources configurées. Nous pouvons ajouter des sources à partir de pool.ntp.org en ouvrant le fichier de configuration de chrony. Celui-ci est généralement situé dans /etc/chrony.conf. Lorsque nous ouvrons ce fichier, nous devrions voir que certains serveurs sont répertoriés par défaut :

210 Number of sources = 0
MS Name/IP address         Stratum Poll Reach LastRx Last sample
===============================================================================
# Most computers using chrony will send measurement requests to one or
# more 'NTP servers'.  You will probably find that your Internet Service
# Provider or company have one or more NTP servers that you can specify.
# Failing that, there are a lot of public NTP servers.  There is a list
# you can access at http://support.ntp.org/bin/view/Servers/WebHome or
# you can use servers from the 3.arch.pool.ntp.org project.

! server 0.arch.pool.ntp.org iburst iburst ! server 1.arch.pool.ntp.org iburst iburst ! server 2.arch.pool.ntp.org iburst iburst

! pool 3.arch.pool.ntp.org iburst

Ces serveurs serviront également de guide syntaxique lorsque nous ajouterons nos propres serveurs. Dans ce cas, nous supprimerons simplement les ! au début de chaque ligne afin d’utiliser les serveurs par défaut du projet pool.ntp.org.

En outre, dans ce fichier, nous pouvons choisir de modifier la configuration par défaut concernant la dérive et le décalage, ainsi que l’emplacement du fichier de dérive et du fichier clé.

Sur cette machine, nous devons effectuer une correction initiale importante de l’horloge. Nous choisirons de décommenter la ligne suivante :

! makestep 1.0 3

Après avoir modifié le fichier de configuration, redémarrez le service chronyd et utilisez ensuite chronyc makestep pour modifier manuellement l’horloge système :

# chronyc makestep
200 OK

Puis utilisez chronyc tracking comme précédemment pour vérifier que les changements ont bien été pris en compte.

Exercices guidés

Indiquez le terme approprié pour chaque définition :

Définition

Terme

Un ordinateur qui partage l’heure réseau avec vous

La distance par rapport à une horloge de référence, en sauts ou en pas

La différence entre l’heure système et l’heure réseau

La différence entre l’heure système et l’heure réseau depuis la dernière requête NTP

Groupe de serveurs qui fournissent l’heure réseau en répartissant la charge entre eux.

Indiquez les commandes que vous utiliseriez pour afficher les valeurs suivantes :

Valeur chronyc tracking timedatectl show-timesync --all ntpq -pn chrony ntpdata chronyc sources

Gigue (jitter)

Dérive (drift)

Intervalle des requêtes

Décalage (offset)

Strate (stratum)

Adresse IP du fournisseur

Retard (root delay)

Vous mettez en place un réseau d’entreprise constitué d’un serveur Linux et de plusieurs ordinateurs de bureau Linux. Le serveur a une adresse IP statique de 192.168.0.101. Vous décidez que le serveur se connectera à pool.ntp.org et fournira ensuite l’heure NTP aux ordinateurs. Décrivez la configuration du serveur et des ordinateurs de bureau.
Une machine Linux a une heure incorrecte. Décrivez les étapes à suivre pour corriger les erreurs NTP.

Exercices d’approfondissement

Étudiez les différences entre SNTP et NTP.

SNTP NTP
Pourquoi un administrateur système pourrait-il décider de ne pas utiliser pool.ntp.org ?
Comment un administrateur système choisirait-il de rejoindre ou de contribuer au projet pool.ntp.org ?

Résumé

Voici ce que nous avons appris dans cette leçon :

NTP : qu’est-ce que c’est et pourquoi c’est important.
Configurer le démon NTP à partir du projet pool.ntp.org.
Utiliser ntpq pour vérifier la configuration NTP.
Utiliser chrony comme service NTP alternatif.

Commandes utilisées dans cette leçon :

timedatectl show-timesync --all: Affiche les informations SNTP si vous utilisez timedatectl.
ntpdate <address>: Effectue une mise à jour manuelle ponctuelle de NTP.
ntpq -p: Affiche un historique des dernières requêtes NTP. -n va remplacer les URLs par des adresses IP.
chronyc tracking: Affiche l’état de NTP si chrony est utilisé.
chronyc ntpdata: Affiche les informations NTP relatives à la dernière requête.
chronyc sources: Affiche les informations sur les fournisseurs NTP.
chronyc makestep: Effectue une mise à jour manuelle ponctuelle de NTP si chrony est utilisé.

Réponses aux exercices guidés

Indiquez le terme approprié pour chaque définition :

Définition

Terme

Un ordinateur qui partage l’heure réseau avec vous

Fournisseur (provider)

La distance par rapport à une horloge de référence, en sauts ou en pas

Strate (stratum)

La différence entre l’heure système et l’heure réseau

Décalage (offset)

La différence entre l’heure système et l’heure réseau depuis la dernière requête NTP

Gigue (jitter)

Groupe de serveurs qui fournissent l’heure réseau en répartissant la charge entre eux.

Pool

Indiquez les commandes que vous utiliseriez pour afficher les valeurs suivantes :

Valeur chronyc tracking timedatectl show-timesync --all ntpq -pn chrony ntpdata chronyc sources

Gigue (jitter)

Dérive (drift)

Intervalle des requêtes

X (colonne when)

Décalage (offset)

Strate (stratum)

Adresse IP du fournisseur

Retard (root delay)

Vous mettez en place un réseau d’entreprise constitué d’un serveur Linux et de plusieurs ordinateurs de bureau Linux. Le serveur a une adresse IP statique de 192.168.0.101. Vous décidez que le serveur se connectera à pool.ntp.org et fournira ensuite l’heure NTP aux ordinateurs. Décrivez la configuration du serveur et des ordinateurs de bureau.

Assurez-vous que le serveur dispose d’un service ntpd plutôt que SNTP. Utilisez les pools pool.ntp.org dans le fichier /etc/ntp.conf ou /etc/chrony.conf. Pour chaque client, spécifiez 192.168.0.101 dans chaque fichier /etc/ntp.conf ou /etc/chrony.conf.
Une machine Linux a une heure incorrecte. Décrivez les étapes à suivre pour corriger les erreurs NTP.

Tout d’abord, assurez-vous que la machine est connectée à Internet. Utilisez ping pour cela. Vérifiez qu’un service ntpd ou SNTP est en cours d’exécution en utilisant systemctl status ntpd ou systemctl status systemd-timesyncd. Vous pouvez voir des messages d’erreur qui fournissent des informations utiles. Enfin, utilisez une commande telle que ntpq -p ou chrony tracking pour vérifier si des requêtes ont été faites. Si l’heure système est radicalement différente de l’heure réseau, il se peut que l’heure système soit considérée comme "insensée" (insane) et qu’elle ne soit pas modifiée sans intervention manuelle. Dans ce cas, utilisez une commande de la leçon précédente ou une commande telle que ntpdate pool.ntp.org pour effectuer une synchronisation NTP ponctuelle.

Réponses aux exercices d’approfondissement

Étudiez les différences entre SNTP et NTP.

SNTP

NTP

moins précis

plus précis

exige moins de ressources

exige plus de ressources

ne peut pas être un fournisseur de temps

peut être un fournisseur de temps

correction par étapes

correction par étapes et incrémentale

interroge une source unique pour l’heure

peut gérer plusieurs serveurs NTP et utiliser le fournisseur optimal

Pourquoi un administrateur système pourrait-il décider de ne pas utiliser pool.ntp.org ?

D’après ntppool.org : S’il est absolument crucial d’avoir l’heure exacte, vous devriez envisager une autre solution. De même, si votre fournisseur d’accès Internet dispose d’un serveur de temps, il est recommandé de l’utiliser.
Comment un administrateur système choisirait-il de rejoindre ou de contribuer au projet pool.ntp.org ?

D’après www.ntppool.org : Votre serveur doit avoir une adresse IP statique et une connexion Internet permanente. L’adresse IP statique ne doit pas changer du tout ou au maximum moins d’une fois par an. En outre, les exigences en matière de bande passante sont modestes : 384 à 512 Kbit de bande passante. Les serveurs de strate 3 ou 4 sont les bienvenus.