web-dev-qa-db-ja.com

ローカルタイムサーバーの構築

ローカルのUbuntuマシンにタイムサーバーをインストールしようとしているので、ネットワーク内の他のサーバーがタイムサーバーと同期します。セキュリティリスクを最小限に抑えるために、各サーバーを外部サーバーから更新するのではなく、独自のタイムサーバーをインストールすることにしました。

  • インストールするのに最適なサーバーは何ですか？
  • 既知のセキュリティ問題はありますか？
  • サーバーはどこから更新する必要がありますか？信頼できるタイムサーバーはありますか？

ヘルプやリファレンスリンクをいただければ幸いです。

ありがとう、

ウディ

securityntpntpdtime-server
1
Adam Matan

NTPネットワークを設定するときに使用するガイド：

  • ネットワーク上に少なくとも2つのタイムサーバーを構成することをお勧めします。それらをピアとして設定し（ntp.confの「peer [ipaddress]」行）、可能であれば、同期元となる異なる外部NTPホストを指定します。
  • すべてのタイムサーバーを使用するようにクライアントを構成します。 1つがなくなった場合でも、彼らはまだ楽しい時間を過ごし、1つが停止している間に同期が外れることはありません。
  • ピアサーバー間で自動鍵または対称鍵暗号のいずれかを使用します。
  • Ntp.confファイルに適切なacl行を設定して、ピアが相互に通信できるようにしますが、他のすべてのクライアントはNTP情報のみを取得し、制御データは取得しません。

最初のポイントは、インターネットの停止に直面してもネットワークに回復力を与えることです。インターネット接続が切断されると、ピアサーバーは相互に合意した時間を維持し、同期が外れることはありません。つまり、クライアントが同期しなくなることはありません。時間が重要な場合、これは非常に良いことです。

ACLオプションに関しては、適切なデフォルトを設定すると、悪の発生を防ぐのに役立ちます。

restrict default ignore #deny access to general internet, just 'cause
restrict 192.168.0.0 255.255.0.0 nomodify nopeer # allow restricted access to internal
restrict 192.168.202.202 #allow TimeHost1 full access
restrict 192.168.202.203 #allow TimeHost2 full access
restrict 192.168.200.158 nopeer #allow the admin workstation to make changes

これにより、クライアントはntpqなどのツールを使用してNTPの問題を診断できますが、何も変更することはできません。

自動鍵と対称鍵については、ネットワークの堅牢性によって異なります。適切なACL値を設定すると、悪に対する抵抗力が得られますが、これにより、なりすましに対する保護層が追加されます。 2つのうち、自動キーの設定は簡単ですが、対称はより新しく、より堅牢です。

3
sysadmin1138

任意の物理 Linuxマシン上の標準のntp（ntp-serverまたはntp-simpleの場合もあります）パッケージで問題ありません。 VMを使用しないでください。

多くの人は、他の人があなたの時間を知ることができるときに情報漏えいがあると主張しますが、他の多くのサービスは時間を漏らし、問題が発生した場合にすべてのログが同期されるとbenefitになります。デフォルトのdebian構成は、リモートユーザーが時間同期以外のことを実行できないようにロックし、十分です。

Pool.ntp.orgから何を更新するかが答えですが、可能であれば、お住まいの国に適したプールを使用してください。これは、ほとんどの場合、LinuxNTPのデフォルト構成でもあります。

9
LapTop006

私はお勧めします OpenNTPd （ポータブル）。

彼らのマニフェストから：

現在のNTPデーモンは複雑で、構成が困難であるか、疑わしいライセンスを持っています。このため、NTPを実行するシステムの数は限られており、多くのマシンが数か月から数年もオフになっています。 。私たちの目標は、安全で構成が簡単な無料のシンプルな実装を提供することにより、NTPをユビキタスにすることです。

  • できるだけ安全にしてください。注意深くコーディングし、特にネットワーク入力パスで厳密な妥当性チェックを実行し、制限付きバッファー操作を使用します。特権の分離を使用して、考えられるセキュリティバグの影響を軽減します。
  • 大多数にとって十分な無駄のない実装を提供します。あいまいな使用例をすべてサポートしようとしないでください。ただし、一般的な使用例については説明してください。
  • バックグラウンドで「JustWork」を試してください。
  • 最小限の構成で作業します。
  • 妥当な精度に到達します。私たちは最後のマイクロ秒の後ではありません。
0
Dan Carley