-
-
-
wilton_gao | 当前状态：离线
总积分：123 2025年可用积分：0
注册时间： 2008-01-16
最后登录时间： 2009-09-29
-
-
利用网络时间协议来保持网络时间的一致性时，需要注意的问题
wilton_gao 发表于 2008/9/8 21:55:46 735 查看 1 回复 [上一主题] [下一主题]
手机阅读
一是网络时间协议通常是使用123端口进行通信。这在防火墙配置的时候需要注意，不要把这个端口屏蔽掉了。当没有时间网络时间协议的话，就可以把这个端口屏蔽。
二是采用网络时间协议保持时间同步的话，这个时间源要选择准确。如我们可以直接利用互联网上的时间服务器。不过，再利用互联网上的时间服务器，跟防火墙的时间进行同步时，需要注意两个问题。一是这个防火墙没有存在企业网络的域中，也就是说，没有利用域来管理企业网络，否则的话，防火墙服务器可以采用域控制器的时钟来同步。二是需要注意，互联网上的时间只同步时钟，而不会同步日期。也就是说，必须先在防火墙上设置正确的日期，只有如此，才能够从互联网上的时间服务器那边更新时间信息。否则的话，在日期不准确的情况下，时间信息无法被更新或者被准确更新。不过，跟互联网上的时间服务器同步的话，只有在网络通畅的情况下，才能够完成。万一，连接企业的外网发生中断，如遇到地震或者海啸，导致光钎断掉的话，就无法保持时间的更新了。所以，在企业中，若有证书方面的要求，如对于部属有网上银行等对于证书要求比较多的企业，最好还是自己设立一个时间服务器。因为他们对于时间的一致性的需求，不是其他企业可以比的。出于安全上的考虑，设置一个专门的时间服务器还是有必要的。而且，这个投资也不会很大。
三是要注意伪时间服务器的问题。以前在管理大型网络的时候，会遇到伪时间服务器的事件。也就是说，在网络中，有两台时间服务器，而其中一台时间服务器是别人伪造的，但是，防火墙不知道他是伪造的，就错误的跟他的时间保持一致，从而造成了网络时间上的不一致。针对这种情况，我们一般要求防火墙在利用网络时间协议从时间服务器那边取得时间的时候，需要认证防火墙与时间服务器之间的通信信息。