华为交换机使用NTP进行时间同步配置

适用产品和版本

   所有款型的所有版本均支持。

组网需求

   对于企业的数据中心网络，如果依靠管理员手工输入命令来修改系统时间，工作量会很大，而且也不能保证时间的准确性。此时通过NTP可以很快将网络中设备的时间进行同步。

   SwitchA和SwitchB的IP地址已经配置。SwitchA的时间已经同步到权威时间（如卫星定位系统）。将SwitchA作为SwitchB的时间服务器。

使用NTP进行时间同步配置举例图：

NTP进行时间同步配置

配置思路

NTP功能实现的配置思路如下：

配置SwitchA和SwitchB的IP地址。

SwitchA作为主时间服务器，配置SwitchA本地时间作为参考时间。

配置SwitchB同步SwitchA的时间。确保时间同步的安全性，配置NTP认证功能。

操作步骤

配置SwitchA和SwitchB的IP地址。# 配置SwitchA的IP地址。

<HUAWEI>system-view

[~HUAWEI]sysname SwitchA

[~HUAWEI]commit

[~SwitchA]vlan batch 100

[~SwitchA]interface vlanif 100

[~SwitchA-Vlanif100]ip address 10.10.1.1 24

[~SwitchA-Vlanif100]quit

[~SwitchA]interface 10ge 1/0/1

[~SwitchA-10GE1/0/1]port link-type trunk

[~SwitchA-10GE1/0/1]port trunk pvid vlan 100

[~SwitchA-10GE1/0/1]port trunk allow-pass vlan 100

[~SwitchA-10GE1/0/1]quit

[~SwitchA]commit

# 配置SwitchB的IP地址。

<HUAWEI>system-view

[~HUAWEI]sysname SwitchB

[~HUAWEI]commit

[~SwitchB]vlan batch 100

[~SwitchB]interface vlanif 100

[~SwitchB-Vlanif100]ip address 10.10.1.2 24

[~SwitchB-Vlanif100]quit

[~SwitchB]interface 10ge 1/0/1

[~SwitchB-10GE1/0/1]port link-type trunk

[~SwitchB-10GE1/0/1]port trunk pvid vlan 100

[~SwitchB-10GE1/0/1]port trunk allow-pass vlan 100

[~SwitchB-10GE1/0/1]quit

[~SwitchB]commit

配置SwitchA作为主时间服务器，并启动NTP认证功能，时间层数为1。

说明：

时间层数的取值范围为1级至第15级，同步子网中时间的同步自层级小的层次向较大的层次进行。时间层数可以配置，本举例中配置时间层数为1。

实际网络中，通常将从权威时间获得时间同步的NTP服务器的层数设置为1，并将其作为主参考时间源同步网络中其他设备的时间，即在设备上配置本地时间作为NTP主时间。

[~SwitchA]ntp refclock-master 1 //配置时间层数为1。

[~SwitchA]ntp authentication enable

[~SwitchA]ntp authentication-keyid 45 authentication-mode hmac-sha256 hello123456 //认证算法有MD5和HMAC-SHA256两种，HMAC-SHA256安全性高，MD5运行速度块。本举例使用HMAC-SHA256。

[~SwitchA]ntp trusted authentication-keyid 45

[~SwitchA]commit

使能SwitchA的NTP服务器功能。

[~SwitchA]undo ntp server disable

[~SwitchA]commit

[~SwitchA]quit

配置SwitchB以SwitchA作为时间服务器，并启动NTP认证功能。时间服务器的IP地址为10.10.1.1。

[~SwitchB]ntp authentication enable

[~SwitchB]ntp authentication-keyid 45 authentication-mode hmac-sha256 hello123456 //认证算法有MD5和HMAC-SHA256两种，HMAC-SHA256安全性高，MD5运行速度块。本举例使用HMAC-SHA256。

[~SwitchB]ntp trusted authentication-keyid 45

[~SwitchB]ntp unicast-server 10.10.1.1 authentication-keyid 45 //配置时间同步的方式为单播客户端/服务器模式。

[~SwitchB]commit

[~SwitchB]quit

说明：

SwitchB的密钥ID需要和SwitchA的密钥ID需要保持一致，否则认证不通过。

验证

验证SwtichA的配置结果

在SwtichA上执行displayntp status查看设备当前的NTP状态。

<SwitchA>display ntp status

clockstatus: synchronized //本地时间状态。

clockstratum: 1 //本地时间所处的NTP层数。

referenceclock ID: LOCAL(0)

nominalfrequency: 100.0000 Hz

actualfrequency: 100.0000 Hz

clockprecision: 2^18

clockoffset: 0.0000 ms

rootdelay: 0.00 ms

rootdispersion: 11.65 ms

peerdispersion: 10.00 ms

referencetime: 15:13:24.754 UTC Aug 21 2013(D5BF5794.C13458CD) //参考时间戳。

synchronizationstate: clock synchronized //本地时间的同步状态。

在SwtichA上执行displayclock查看设备当前的NTP状态。

<SwitchA>display clock

2013-08-2115:14:23

Wednesday

TimeZone(DefaultZoneName) : UTC

验证SwtichB的配置结果

在SwtichB上执行displayntp status查看设备当前的NTP状态。

<SwitchB>display ntp status

clockstatus: synchronized //本地时间状态。

clockstratum: 2 //本地时间所处的NTP层数。

referenceclock ID: 10.10.1.1

nominalfrequency: 100.0000 Hz

actualfrequency: 100.0000 Hz

clockprecision: 2^18

clockoffset: 0.6828 ms

root delay:2.74 ms

rootdispersion: 24.84 ms

peerdispersion: 10.93 ms

referencetime: 15:13:24.518 UTC Aug 21 2013(D5BF5B33.84A4A05D) //参考时间戳。

synchronizationstate: clock synchronized //本地时间的同步状态。

在SwtichB上执行displayclock查看设备当前的NTP状态。

<SwitchB>display clock

2013-08-2115:14:23

Wednesday

TimeZone(DefaultZoneName) : UTC

配置文件

SwitchA的配置文件

#

sysnameSwitchA

#

ntp ipv6server disable

ntpauthentication-keyid 45 authentication-mode hmac-sha256 cipher%^%#fhKx(LFg)~2:d23J_(t~RNcW9g#Bv7}a[7(%$HG-%^%# //此处密文格式仅为示例，不同版本之间可能存在不同

ntptrusted authentication-keyid 45

ntprefclock-master 1

ntpauthentication enable

#

vlanbatch 100

#

interfaceVlanif100

ipaddress 10.10.1.1 255.255.255.0

#

interface10GE1/0/1

portlink-type trunk

porttrunk pvid vlan 100

porttrunk allow-pass vlan 100

#

return

SwitchB的配置文件

#

sysnameSwitchB

#

ntpserver disable

ntp ipv6server disable

ntpauthentication-keyid 45 authentication-mode hmac-sha256 cipher%^%#fhKx(LFg)~2:d23J_(t~RNcW9g#Bv7}a[7(%$HG-%^%# //此处密文格式仅为示例，不同版本之间可能存在不同

ntptrusted authentication-keyid 45

ntpunicast-server 10.10.1.1 authentication-keyid 45

ntpauthentication enable

#

vlanbatch 100

#

interfaceVlanif100

ipaddress 10.10.1.2 255.255.255.0

#

interface10GE1/0/1

portlink-type trunk

porttrunk pvid vlan 100

porttrunk allow-pass vlan 100

#

return

总结与建议

不同NTP时间同步模式的应用场景如下：

单播客户端/服务器模式：运行在同步子网中层数较高层上。这种模式下，需要预先知道服务器的IP地址。

对等体模式：运行在同步子网中层数较低处。这种模式下，主动对等体和被动对等体可以互相同步，层数大的对等体向层数小的对等体同步。

广播模式：在不能确定服务器或对等体IP地址，或者网络中需要时间同步的设备数量很多等情况下，可以通过广播模式实现时间同步。

组播模式：应用在有多台工作站、不需要很高的准确度的高速网络。典型的情况是网络中的一台或多台时间服务器定期向工作站发送组播报文，组播报文在毫秒级的延迟基础上确定时间。

多播模式（仅V100R002C00或更高版本支持）：适用于服务器分散分布在网络中的情况。客户端可以发现与之最近的多播服务器，并进行同步。多播模式适用于服务器不稳定的组网环境中，服务器的变动不会导致整网中的客户端重新进行配置。

通过NTP同步时间，同步过程中会有以下几种状态：

clocknot set: 表示时间未更新。

frequencyset by configuration: 表示时间频率由NTP配置而设定。

clockset: 表示时间已设定。

clockset but frequency not determined: 表示时间已设定，但时间频率没有确定。

clocksynchronized: 表示时间已同步。

spike(clock will be set in XXX secs): 表示系统检测到时间服务器与客户端之间的时间差超过128毫秒，且时间会在XXX秒内重新设置。

对于出现NTP时间同步异常情况，可以通过以下几种方式查看原因：

通过display ntp eventclock-unsync命令用来查看最新的10条时间不同步的原因。

通过display ntpsessions命令用来查看本地NTP维护的所有会话信息。

通过display ntpslot-status命令用来查看设备上时间系统的状态。