Речі, які слід враховувати при запуску загальнодоступних серверів NTP

Отож, нещодавно мені зрозуміло, що, оскільки у мене є три годинники GPS у моїй мережі, я технічно можу трохи відпочити і прослужити час іншому світу. Поки що я не зовсім бачив жодних недоліків у цій ідеї, але у мене є такі питання;

1. Чи можу я це віртуалізувати? Я не збираюсь витрачати гроші та час на вставлення обладнання для цього, тому віртуалізація є обов'язковою. Оскільки сервери матимуть доступ до трьох джерел 1-го шару, я не бачу, як це може бути проблемою за умови правильності конфігурації ntpd

2. Який трафік зазвичай бачить загальнодоступний сервер NTP (частина pool.ntp.org)? І наскільки великі VM мені потрібні для цього? Наскільки я можу зібрати, ntpd не повинен бути занадто ресурсоємним, але я краще заздалегідь знаю.

3. Які аспекти безпеки є для цього? Я думаю просто встановити ntpd на два VM в DMZ, дозволити лише ntp через FW і лише ntp вийти з DMZ на внутрішні сервери ntp. Здається, також є деякі параметри ntp, які рекомендуються відповідно до сторінки пулу NTP, але чи достатньо їх? https://www.ntppool.org/join/configuration.html

4. Вони рекомендують не налаштовувати драйвер годин LOCAL, це еквівалент видаленню конфігурації джерела часу LOCAL з конфігураційних файлів?

5. Ще що слід врахувати?

По-перше, добре вам; це корисна і громадська думка. Це сказав і, враховуючи ваше пояснення, що ви плануєте створити один або кілька DMZ, які синхронізуватимуть та надаватимуть загальнодоступний час з трьох ваших Meinberg GPS-підключень stratum-1 (внутрішніх):

1. Редагувати : віртуалізація час від часу виходить на обговорення у списку пулів ; останній був у липні 2015 року, який можна слідкувати, починаючи з цього електронного листа . Запитайте Бьорна Хансена, керівника проекту, він розмістив цю тему і не висловився проти віртуалізації. Очевидно, що зараз декілька операторів серверів пулу віртуалізуються, тому я не думаю, що хтось зніме вас за це, і як один плакат зрозуміє, якщо ваш сервер (и) не є надійними, система моніторингу пулу просто видалить їх басейн. Здається, KVM є кращою технологією віртуалізації; Я не знайшов когось, хто спеціально використовує VMWare, тому не можу коментувати, наскільки "чесна" віртуалізація. Можливо , найкраще резюме на цю тему сказав

   Мої сервери пулу віртуалізовані з KVM на моїх власних хостах KVM. Моніторинг говорить, що сервер досить точний і забезпечує стабільний час протягом останніх 2-3 років. Але я б не налаштовував сервер пулу на орендованому віртуальному сервері від іншого провайдера.

2. Це середньодобова кількість різних клієнтів за секунду, яку я бачу на своєму сервері пулу (який знаходиться у Великобританії, Європі та глобальній зоні) за останній рік:

   

   Це не накладає майже ніякого детектируемого навантаження на систему ( ntpdбільшість часу, як здається, використовує від 1% до 2% ЦП). Зауважте, що в якийсь момент протягом року навантаження ненадовго досягла майже тисячі клієнтів в секунду (Макс: 849,27); Я монітору надмірне навантаження, і тривоги не згасали, тому можу зазначити лише, що навіть такий рівень навантаження не створював проблем, хоч і ненадовго.

3. Рекомендовані проектом конфігурації є найкращою практикою і працюють для мене. Я також використовую iptablesдля обмеження кількості клієнтів до двох вхідних пакетів у вільному десятисекундному вікні ( дивно, скільки там грубих клієнтів, які думають, що вони повинні вільно лопнути, щоб швидко встановити власні годинники).

4. Або видаліть будь-які рядки, що стосуються адрес сервера, починаючи з 127.127.

5. Рекомендації з найкращої практики також рекомендують більше трьох годин, тому ви можете вибрати пару інших загальнодоступних серверів або конкретних серверів пулу, окрім трьох серверів stratum-1.

   Я також зазначу, що якщо ви плануєте розміщувати обидва ці віртуальних машин на одному і тому ж апаратному хості, вам, мабуть, слід просто запустити один, але подвоїти пропускну здатність, оголошену до пулу (тобто прийняти вдвічі більше запитів, ніж інакше ).

По-перше, вітаю з питанням про НТП, що є немедичним матеріалом. :-) Я включив кілька графіків у нижній частині цієї публікації, щоб дати вам уявлення про речі. Розміщений VM встановлюється на 100 Мбіт / с на панелі керування пулом і знаходиться у Великобританії, Європі та глобальних пулах.

1. Я думаю, що MadHatter це добре висвітлював - віртуалізація має бути добре. Як ви кажете, якщо вони живляться з вашого GPS-шару 1, вони повинні бути досить міцними. З мого досвіду, відеомагнітофони, як правило, трохи стрибніші, ніж голий метал, з точки зору частоти (див. Графік нижче), але це те, що ви очікували - вони мають справу з тактовим шаром емуляції (сподіваюся, досить ефективним) та потенційно галасливим. сусідів. Якщо ви скоріше не бачите такого роду стрибків, можливо, замість цього використовуйте старі сервери або невикористані настільні комп’ютери як свої DMZ-страти 2.

2. Цей VM має 1 ядро, 2 ГБ оперативної пам’яті, працює Ubuntu 16.04 LTS, віртуалізується в OpenStack (гіпервізор KVM). Як бачите, оперативна пам’ять трохи вище вершини.

3. Рекомендовані параметри, включаючи відсутність налаштування локального драйвера - є типовими для Ubuntu 16.04. Я працюю дуже близько до конфігурації запасів, крім списку рівнів.

4. (Дивись вище)

5. Я, мабуть, почав би пропускну здатність з низької сторони і збільшив пропускну здатність після того, як ви трохи стежили за нею. Якщо ваші відеомагнітофони знаходяться поблизу один одного та поблизу вашого прошарку 1 з точки зору затримки в мережі, я, мабуть, змусив би всі віртуальні машини розмовляти з усіма стратами 1, і, ймовірно, переглядати їх між собою та вмикати режим сиріт.

Ось графіки - всі вони охоплюють той самий період приблизно 3 тижні, за винятком мережевого, який мав пару шипів через резервне копіювання. Коли в мережі з'явилися шипи, я навіть не міг побачити нормальний трафік NTP, тому я трохи збільшив масштаб, щоб показати звичайний фон.

Система компенсації частоти мережевої пам'яті процесора

Деякі речі, які слід врахувати з NTP

Тут вже є хороші відповіді. Я лише додаю кілька думок заради повноти, спираючись на власний досвід.

Я б запропонував увімкнути ведення протоколу NTP і скасування та виправлення графіків годин на голому металі та VM, оскільки це стосується цієї дискусії, якщо це викликає занепокоєння. Я не вірю, що це можна легко узагальнити, оскільки апаратне забезпечення та конфігурація відрізняються між реалізаціями. Можливо, найкраще отримати власні номери на цьому номері.

Я завжди пропонував людям вибирати системні ролі серверів або мережевих пристроїв, які мають досить постійний час процесора, які не є непомітними ядрами або ввімкнено режими енергозбереження. Особливо уникайте демонстраційних ліній з випромінюванням або швидкості руху або покращеного енергозбереження на серверах NTP, навіть якщо вони є лише шаром 2 у вашому господарстві. Деяку стабільність можна досягти, ніколи не заглиблюючись в C-State 1, але ваше енергоспоживання зросте.

Я також намагаюся переконатись, що люди вибирають декілька серверів stratum 1, які знаходяться в 40 метрах від краю їхньої мережі, а потім розділяють їх по ваших крайових серверах NTP і гарантують, що жоден 2 сервери позаду того ж SNAT у вашій мережі не розмовляють на той же сервер 1-го шару. За тими ж лініями, як burstнерозумно мати декілька серверів за одним SNAT, використовуючи одні й ті ж сервери вгору, так як їм буде здаватися, що ви увімкнули лопнути навіть у вас.

Ви завжди повинні шанувати kodпакет з верхнього сервера та мати засоби моніторингу, які перевіряють зміщення часу та доступність серверів вище за течією.

Ви можете подумати про наявність власних точних джерел часу в декількох своїх центрах обробки даних, щоб зазирнути або повернутися назад у маловірогідному випадку, коли GPS SA увімкнено військовими. Для цього є спеціально рентабельна техніка. Навіть якщо ви перебуваєте в "клітці" і не маєте власного центру обробки даних, деякі хостингові послуги можуть це вмістити.

Дивіться документ про затримку vmware на веб- сайті http://www.vmware.com/pdf/vmware_timekeeping.pdf

Запуск демона NTP у віртуальному комп'ютері, мабуть, не є гарною ідеєю, особливо якщо вам потрібен надійний час.

Ось хороший КБ від VMware з фактичними параметрами конфігурації для різних дистрибутивів Linux

https://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1006427