ntp.conf ファイル

目的

Network Time Protocol (NTP) ntpd デーモンの操作と動作を制御します。

説明

ntp.conf ファイルは、 ntpd デーモンを制御する基本構成ファイルです。

構成オプション

ntpd デーモンの構成に使用されるコマンドには、構成コマンドと補助コマンドの 2 つのクラスがあります。 補助コマンドは、さまざまな関連操作を制御する環境変数を指定するために使用されます。

構成コマンド

構成コマンドは、リモート・サーバー、ピア、または参照クロックとの関連を構成するために使用されます。

server address [options ...]
peer address [options ...]
broadcast address [options ...]
manycastclient address [options ...]

これらの 4 つのコマンドは、使用するタイム・サーバーの名前またはアドレス、および操作モードを指定します。 アドレスは、DNS 名またはドット付きクワッド表記の IP アドレスのいずれかにすることができます。 関連付けの動作に関する追加情報は、「 関連付けの管理 」ページにあります。

コマンド	説明
server	タイプ s および r アドレス (のみ) の場合、このコマンドは通常、指定されたリモート・サーバーまたはローカル参照クロックとの永続クライアント・モード・アソシエーションを動員します。 preempt フラグが指定されている場合は、代わりに peerutable 関連が動員されます。 クライアント・モードでは、クライアント・クロックをリモート・サーバーまたはローカル参照クロックに同期させることができますが、リモート・サーバーをクライアント・クロックに同期させることはできません。 このコマンドは、タイプ b、または m アドレスには使用できません。
peer	タイプ s アドレスの場合 (のみ)、このコマンドは、指定されたリモート・ピアとの永続対称アクティブ・モードの関連付けを動員します。 このモードでは、ローカル・クロックをリモート・ピアに同期させるか、リモート・ピアをローカル・クロックに同期させることができます。 このコマンドは、さまざまな障害シナリオに応じて、ローカル・ピアまたはリモート・ピアのいずれかが時間のソースになる可能性があるサーバーのネットワークで役立ちます。 このコマンドは、タイプ b、 m、または r のアドレスには使用できません。
broadcast	タイプ b および m アドレス (のみ) の場合、このコマンドは永続ブロードキャスト・モードの関連付けをモバイル化します。 複数のコマンドを使用して、複数のローカル・ブロードキャスト・インターフェース (サブネット) および複数のマルチキャスト・グループを指定できます。 ローカル・ブロードキャスト・メッセージは、指定されたサブネットに関連付けられたインターフェースにのみ送信されますが、マルチキャスト・メッセージはすべてのインターフェースに送信されます。 ブロードキャスト・モードでは、ローカル・サーバーは、指定されたアドレスにあるクライアント集団に定期的にブロードキャスト・メッセージを送信します。 指定されるアドレスは通常、1 つ以上のローカル・ネットワーク上のブロードキャスト・アドレス、または NTP に割り当てられたマルチキャスト・アドレスです。 IANA は、マルチキャスト・グループ・アドレス IPv4 224.0.1.1 および IPv6 ff05::101 (サイト・ローカル) を排他的に NTP に割り当てましたが、競合しない他のアドレスを使用して、管理境界内にメッセージを含めることができます。 通常、この指定は、送信側として動作するローカル・サーバーにのみ適用されます。ブロードキャスト・クライアントとして動作する場合は、 broadcastclient または multicastclient コマンドを参照してください。
manycastclient	タイプ m アドレスの場合 (のみ)、このコマンドは、指定されたマルチキャスト・グループ・アドレスの preemptable マニーキャスト・クライアント・モード・アソシエーションを動員します。 このモードでは、指定されたマニーキャスト・サーバーの manycastserver コマンドで使用されるアドレスと一致する特定のアドレスを指定する必要があります。 IANA によって割り当てられた NTP マルチキャスト・アドレス 224.0.1.1 を使用してはなりません。ただし、応答のスパンを制限し、元の送信側で大量のインプロッションが発生しないようにするための特定の手段が取られている場合を除きます。 manycastclient コマンドは、ブロードキャスト・メッセージまたはマルチキャスト・メッセージの結果としてディスカバーされたリモート・サーバーを使用して、ホストがクライアント・モードで動作することを指定します。 クライアントは、指定されたアドレスに関連付けられたグループ・アドレスに要求メッセージをブロードキャストし、使用可能なサーバーはこれらのメッセージに応答します。 クライアントは、最良の時間を提供するサーバーを選択し、サーバー・コマンドの場合と同様に続行します。 残りのサーバーは破棄されます。

コマンド・オプション

オプション	説明
autokey	サーバーまたはピアとの間で送受信されるすべてのパケットには、「 認証オプション 」ページで説明されている自動キー・スキームを使用して暗号化された認証フィールドが含まれます。 このオプションは、すべてのコマンドで有効です。
burst	サーバーに到達できる場合は、通常のパケットではなく、8 パケットのバーストを送信します。 パケット間隔は通常 2 s です。 ただし、最初のパケットと 2 番目のパケットの間のスペーシングは、モデムまたは ISDN 呼び出しが完了するまでの時間を長くするために、 calldelay コマンドを使用して変更することができます。 このオプションは、 server コマンドでのみ有効であり、 maxpoll オプションが 11 以上の場合にこのコマンドで推奨されるオプションです。
iburst	サーバーに到達できない場合は、通常のパケットの代わりに 8 パケットのバーストを送信します。 パケット間隔は通常 2 s です。 ただし、最初のパケットと 2 番目のパケットの間のスペーシングは、モデムまたは ISDN 呼び出しが完了するまでの時間を長くするために、 calldelay コマンドを使用して変更することができます。 このオプションは、 server コマンドでのみ有効であり、このコマンドで推奨されるオプションです。
key キー	サーバーまたはピアとの間で送受信されるすべてのパケットには、指定された鍵 ID (1 から 65534 までの値を含む) を使用して暗号化された認証フィールドが含まれます。 デフォルトでは、暗号化フィールドは含まれません。 このオプションは、すべてのコマンドで有効です。
minpoll または maxpoll	これらのオプションは、NTP メッセージの最小および最大のポーリング間隔を秒単位で 2 の累乗として指定します。 最大ポーリング間隔のデフォルトは 10 (1,024 秒) ですが、 maxpoll オプションを使用して上限の 17 (36.4 時間) に増やすことができます。 デフォルトの最小ポーリング間隔は 6 (64 秒) です。 ただし、 minpoll オプションを使用して、最小限度の 4 (16s) まで減らすことができます。 これらのオプションは、 server コマンドおよび peer コマンドでのみ有効です。
noselect	表示目的の場合を除き、サーバーに未使用のマークを付けます。 選択アルゴリズムはサーバーを破棄します。 このオプションは、サーバー・コマンドおよびピア・コマンドでのみ有効です。
preempt	関連付けを、デフォルトのパーシスタントではなく、 preemptable として指定します。 このオプションは、 server コマンドでのみ有効です。
prefer	サーバーに優先のマークを付けます。 他のすべてのパラメーターがホストのセット内で等しい場合、優先のマークが付けられたホストが、正しく作動しているホストのセット間の同期のために選択されます。 詳しくは、 緩和ルールと優先キーワード のページを参照してください。 このオプションは、サーバー・コマンドおよびピア・コマンドでのみ有効です。
true	関連付けが truechimer 状況を想定するように強制します。つまり、常に選択アルゴリズムとクラスタリング・アルゴリズムを存続させます。 このオプションは、任意の関連付けで使用できます。 ただし、大きなシリアル・ポート・ジッターと正確なパルス/秒 (PPS) 信号を持つリファレンス・クロックを使用すると、最も効果的に機能します。 注: このオプションは、 falsetickers をキャストアウトするように設計されたアルゴリズムを無効にし、これらのソースがシステム・クロックを設定できるようにします。 このオプションは、サーバー・コマンドおよびピア・コマンドでのみ有効です。
ttl ttl	このオプションは、ブロードキャスト・サーバー・モードおよびマニーキャスト・クライアント・モードでのみ使用されます。 これは、ブロードキャスト・サーバーおよびマルチキャスト・サーバーで使用される、マニーキャスト・クライアント・パケットおよび ttl を使用した拡張リング検索の最大存続時間 (ttl) を指定します。 適切な値 (デフォルトは 127) を選択することは、ブラック・アートのようなものであり、ネットワーク管理者と調整する必要があります。
version バージョン	発信 NTP パケットに使用するバージョン番号を指定します。 バージョン 1 から 4 が選択項目で、バージョン 4 がデフォルトです。 このオプションは、サーバー・コマンド、ピア・コマンド、およびブロードキャスト・コマンドでのみ有効です。

補助コマンド

コマンド	説明
broadcastclient [novolley]	このコマンドは、任意のローカル・インターフェース (タイプ b) アドレスへのブロードキャスト・サーバー・メッセージの受信を可能にします。 ブロードキャスト・クライアントは、初めてメッセージを受信すると、サーバーとの短いクライアントまたはサーバー交換を使用して公称サーバー伝搬遅延を測定します。その後、サーバーは listen 専用モードで続行します。 novolley キーワードが存在する場合、交換は使用されず、 broadcastdelay コマンドで指定された値が使用されます。 broadcastdelay コマンドが使用されない場合は、デフォルトの 4.0 ミリ秒が使用されます。 注: このモードで偶発的または悪意のある中断を回避するには、「 認証オプション 」ページで説明されているように、サーバーとクライアントの両方が対称鍵または公開鍵認証を使用して動作する必要があります。 novolley キーワードは、公開鍵認証と互換性がありません。
manycastserver address [...]	このコマンドは、指定された 1 つ以上のマルチキャスト・グループ・アドレス (タイプ m) へのマンキャスト・クライアント・メッセージの受信を可能にします。 少なくとも 1 つのアドレスが必要です。 IANA によって割り当てられた NTP マルチキャスト・アドレス 224.0.1.1 を使用してはなりません。ただし、応答のスパンを制限し、場合によっては元の送信側で大量のプロットを回避するための特定の手段が取られている場合を除きます。 注: このモードで偶発的または悪意のある中断を回避するには、「 認証オプション 」ページで説明されているように、サーバーとクライアントの両方が対称鍵または公開鍵認証を使用して動作する必要があります。
multicastclient address [...]	このコマンドは、指定された 1 つ以上のマルチキャスト・グループ・アドレス (タイプ m) へのマルチキャスト・サーバー・メッセージの受信を可能にします。 マルチキャスト・クライアントは、初めてメッセージを受信すると、サーバーとの短いクライアントまたはサーバー交換を使用して、公称サーバー伝搬遅延を測定します。 その後、マルチキャスト・クライアントはブロードキャスト・クライアント・モードに入ります。このモードでは、マルチキャスト・クライアントは後続のマルチキャスト・メッセージと同期します。 注: このモードで偶発的または悪意のある中断を回避するために、サーバーとクライアントの両方が対称鍵認証または公開鍵認証を使用して動作する必要があります。

構成アクセス制御オプション

ntpd デーモンは、汎用アドレス・ベースまたはマスク・ベースの制限リストを実装します。 リストには、最初にアドレス値を増やしてからマスク値を増やすことによってソートされたアドレスまたは一致項目が含まれます。 マスクとパケット・ソース・アドレスのビット単位 AND が、マスクとリスト内のアドレスのビット単位 AND と等しい場合に、一致が発生します。 リストは、項目に関連した制限フラグを定義して、最後に検出された一致の順序で検索されます。

この機能は、無害なサーバーから不要なクライアントや悪意のあるクライアントを保持するのに役立ちますが、NTP 認証機能の代替と見なすことはできません。 判別されたクラッカーは、ソース・アドレス・ベースの制限を簡単に回避できます。

クライアントは、 restrict コマンドによって作成される制限リストに明示的に組み込まれるか、暗号違反またはレート制限違反の結果として暗黙的に組み込まれるため、サービスを拒否することができます。 暗号違反には、証明書または ID 検査の失敗が含まれます。 レート制限違反は、パケットを不正な速度で送信する NTP 実装の欠陥が原因で発生します。 一部の違反により、問題のパケットに対してのみサービスが拒否されます。 違反の中には、一定期間にわたってサービスが拒否される原因となるものと、無期限にサービスが拒否される原因となるものがあります。 クライアントまたはネットワークが無期限にアクセスを拒否された場合、現在制限を除去する唯一の方法は、サーバーを再始動することです。

現在の実装では、フラグは常にアクセスを制限します。 フラグのない項目は、サーバーへのフリー・アクセスが与えられることを示します。 フラグは直交フラグではないため、より限定的なフラグを使用すると、より限定的なフラグが冗長になることがよくあります。 フラグは通常、タイム・サービスを制限するフラグと、情報照会を制限するフラグ、およびサーバーのランタイム再構成を試行するフラグの 2 つのカテゴリーに分類できます。 以下の 1 つ以上のフラグを指定できます。

ローカル・ホストの各インターフェース・アドレスについて、無視フラグ、インターフェース、および ntpport フラグを持つデフォルト制限リスト項目が、始動時にテーブルに挿入されます。これは、サーバーがそれ自体の時間に同期化を試行しないようにするためです。 デフォルト・エントリーも常に存在しますが、それ以外の場合は構成解除されます。 デフォルト・エントリーに関連付けられているフラグはありません。 独自の NTP サーバーを除くすべてのものに制限はありません。

構成認証オプション

認証サポートにより、NTP クライアントは、サーバーが実際に既知の信頼できるサービスであり、侵入者が誤ってまたは意図的にそのサーバーになりすますのではないことを検証できます。 NTPv3 仕様の RFC-1305 は、受信した NTP パケットの暗号認証を提供するスキームを定義しています。 元々は、暗号化ブロック・チェーン (CBC) モード (一般に DES-CBC と呼ばれる) で動作する Data Encryption Standard (DES) アルゴリズムを使用して行われていました。 その後、秘密鍵 (一般に keyed-MD5と呼ばれる) を使用して、RSA メッセージ igest 5 (MD5) アルゴリズムに置き換えられました。 アルゴリズムは、メッセージ・ダイジェストまたは片方向ハッシュを計算します。これらを使用して、サーバーに正しい秘密鍵と鍵 ID があることを検証できます。

NTPv4 は、対称鍵暗号方式として適切に記述された NTPv3 方式を保持し、さらに公開鍵暗号方式に基づく新しい自動キー方式を提供します。 公開鍵暗号方式は対称鍵暗号方式よりも安全であると見なされます。これは、セキュリティーが各ホストによって生成され、公開されることのない秘密値に基づいているためです。 後述のグループ・キーを除き、すべての鍵配布および管理機能には、鍵配布およびストレージを大幅に単純化する公開値のみが関与します。 公開鍵管理は、商用サービスによって提供されるか、 OpenSSL ソフトウェア・ライブラリーまたは NTPv4 ディストリビューションのユーティリティー・プログラムによって生成される X.509 証明書に基づいています。

以下に、サブコマンドを示します。

構成モニター・オプション

ntpd には、サーバーおよびクライアントのタイム・キーピング・パフォーマンスの継続的な長期記録に適した包括的なモニター機能が組み込まれています。 現在サポートされている各タイプの統計のリストと例については、後述の statistics コマンドを参照してください。 統計ファイルは、この配布の ./scripts ディレクトリーにあるファイル生成セットとスクリプトを使用して管理されます。 これらの機能と UNIX クーロン・ジョブを使用して、データを自動的に要約してアーカイブし、振り返り分析を行うことができます。

49213 525.624 127.127.4.1 93 226 00:08:29.606 D

49213 525.624 127.127.4.1 message

50935 75440.031 0.000006019 13.778190 0.000351733 0.0133806 6

48773 10847.650 127.127.4.1 9714 -0.001605376 0.000000000 0.001424877   0.000958674

50928 2132.543 128.4.1.1 128.4.1.20 3102453281.584327000   
 3102453281.58622800031 02453332.540806000 3102453332.541458000

50928 2132.543 36000 81965 0 9546 56 71793 512 540 10 147

            Time since restart 36000
                        Time in hours since the system was last rebooted.
            Packets received 81965
                        Total number of packets received.
            Packets processed 0
                        Number of packets received in response to previous packets sent
            Current version 9546
                        Number of packets matching the current NTP version.
            Previous version 56
                        Number of packets matching the previous NTP version.
            Bad version 71793
                        Number of packets matching neither NTP version.
            Access denied 512
                        Number of packets denied access for any reason.
            Bad length or format 540
                        Number of packets with invalid length, format or port number.
            Bad authentication 10
                        Number of packets not verified as authentic.
            Rate exceeded 147
              Number of packets discarded due to rate limitation.

53876 36.920 10.0.3.5 1 0.000014592  input processing delay 

その他の構成オプション

 logconfig=syncstatus +sysevents

 logconfig=allsync +allclock

ファイル