1. 為什么你的服務(wù)器時間總是不準(zhǔn)從NTP到Chrony的演進(jìn)你有沒有遇到過這樣的場景服務(wù)器上部署的應(yīng)用日志時間戳對不上排查問題時發(fā)現(xiàn)兩臺機(jī)器的時間差了十幾秒數(shù)據(jù)庫主從同步報(bào)錯一查是主庫和從庫的系統(tǒng)時間不一致甚至在做分布式事務(wù)或者依賴時間戳的加密認(rèn)證時因?yàn)楹撩爰壍钠顚?dǎo)致整個流程失敗。這些問題根源往往都指向一個看似不起眼的基礎(chǔ)服務(wù)——系統(tǒng)時間同步。在Linux世界里提到時間同步老司機(jī)們第一時間會想到ntpdNetwork Time Protocol daemon。它確實(shí)是過去幾十年的行業(yè)標(biāo)準(zhǔn)像一位德高望重的老教授嚴(yán)謹(jǐn)、穩(wěn)定但配置起來也略顯繁瑣對網(wǎng)絡(luò)波動和系統(tǒng)負(fù)載的適應(yīng)性在今天看來有些“遲緩”。而chrony則可以看作是這位老教授培養(yǎng)出的“高徒”它繼承了NTP協(xié)議的精髓但在算法和實(shí)現(xiàn)上做了大量現(xiàn)代化改進(jìn)。它更快、更精準(zhǔn)尤其在虛擬化、云計(jì)算和移動網(wǎng)絡(luò)環(huán)境下表現(xiàn)突出?，F(xiàn)在包括RHEL/CentOS 8、Fedora、Ubuntu等主流發(fā)行版都已經(jīng)將chrony作為默認(rèn)的時間同步服務(wù)。如果你還在用ntpd是時候了解一下這位“后起之秀”了。簡單來說chrony是一個更現(xiàn)代化的NTP協(xié)議實(shí)現(xiàn)它由兩個核心組件構(gòu)成chronyd守護(hù)進(jìn)程和chronyc命令行客戶端。chronyd在后臺運(yùn)行負(fù)責(zé)與時間服務(wù)器通信、計(jì)算時間偏差并逐步調(diào)整系統(tǒng)時鐘chronyc則讓你可以隨時查詢同步狀態(tài)、手動調(diào)整或檢查時間源。它的設(shè)計(jì)目標(biāo)很明確在保持高精度的同時更快地收斂到正確時間并且對間歇性網(wǎng)絡(luò)連接比如筆記本電腦合蓋休眠后喚醒和虛擬機(jī)的時鐘漂移有更好的處理能力。2. Chrony 核心工作機(jī)制它憑什么比NTPD更“聰明”要理解chrony的配置必須先搞懂它是怎么工作的。這不僅僅是改幾個配置文件參數(shù)那么簡單知其所以然才能在出問題時快速定位。2.1 時鐘的“性格”漂移與偏移每個計(jì)算機(jī)的硬件時鐘Real Time Clock, RTC也就是CMOS時鐘和由內(nèi)核維護(hù)的系統(tǒng)時鐘都不是絕對準(zhǔn)確的。它們受溫度、電壓、主板晶體振蕩器精度等因素影響會以一個相對穩(wěn)定的速率變快或變慢這個速率就是時鐘漂移率clock drift。比如你的服務(wù)器時鐘可能每天會慢2秒。而時鐘偏移clock offset指的是當(dāng)前系統(tǒng)時間與真實(shí)時間之間的瞬時差值。ntpd和chronyd的核心任務(wù)就是通過持續(xù)測量偏移量并估算出漂移率來“馴服”這臺不守時的機(jī)器。chrony的算法更激進(jìn)一些。它采用了一種更復(fù)雜的濾波和選擇算法能夠更快地識別并丟棄不可靠的時間源樣本同時更積極地計(jì)算漂移率。這意味著在系統(tǒng)啟動后或者時間發(fā)生較大偏差時chrony能比ntpd更快地將系統(tǒng)時間調(diào)整到正確范圍。2.2 時間源的“選舉”與“信任”chronyd會同時向多個配置的NTP服務(wù)器時間源發(fā)送請求。它并不簡單地取平均值而是進(jìn)行一場精密的“選舉”測量與篩選chronyd會持續(xù)測量到每個時間源的往返延遲delay和時間偏移offset。它會根據(jù)這些測量的穩(wěn)定性和一致性為每個時間源計(jì)算一個“誤差范圍”和“權(quán)重”。層級與距離NTP服務(wù)器本身是分層的Stratum。Stratum 0是原子鐘、GPS時鐘等絕對時間源Stratum 1是直接連接Stratum 0的服務(wù)器Stratum 2從Stratum 1同步以此類推。chrony會優(yōu)先選擇層級低數(shù)字小且網(wǎng)絡(luò)延遲小的服務(wù)器。真假源檢測這是chrony的一個強(qiáng)項(xiàng)。它通過交叉比對多個時間源能夠有效檢測并拒絕那些提供錯誤時間的“假”服務(wù)器可能是配置錯誤或惡意服務(wù)器。ntpd在這方面相對脆弱。組合時間最終chronyd會綜合所有“可信”時間源的信息計(jì)算出一個最優(yōu)的“組合時間combined time”并以此為目標(biāo)來調(diào)整本地時鐘。這個過程的細(xì)節(jié)都記錄在chronyd的內(nèi)存狀態(tài)中我們可以通過chronyc命令來窺探。理解了這個過程你就會明白為什么配置文件里pool、server指令后面可以跟minpoll、maxpoll、iburst這些參數(shù)它們直接影響了測量行為的頻率和積極性。2.3 調(diào)整方式 “猛藥”還是“溫補(bǔ)”當(dāng)發(fā)現(xiàn)時間偏差時有兩種調(diào)整方式步進(jìn)調(diào)整Step如果時間偏差超過一個閾值默認(rèn)是1000秒chronyd會直接“跳變”時鐘。這就像發(fā)現(xiàn)手表慢了半小時直接擰到正確時間。在生產(chǎn)環(huán)境中巨大的時間跳變可能導(dǎo)致依賴連續(xù)時間的應(yīng)用如數(shù)據(jù)庫事務(wù)日志出錯所以這個閾值需要謹(jǐn)慎設(shè)置。漸進(jìn)調(diào)整Slew如果偏差在閾值之內(nèi)chronyd會通過加快或減慢系統(tǒng)時鐘的“滴答”頻率讓時間逐漸“滑”到正確位置。這是默認(rèn)且推薦的方式對應(yīng)用無感。chrony的漸進(jìn)調(diào)整算法更平滑允許在短時間內(nèi)補(bǔ)償更大的偏移量這也是它收斂速度快的原因之一。3. 從零開始一份詳盡的Chrony配置指南理論說再多不如動手配一遍。我們假設(shè)你正在配置一臺新的CentOS 8或Rocky Linux 8服務(wù)器其默認(rèn)已安裝chrony。3.1 安裝與基礎(chǔ)狀態(tài)檢查首先確認(rèn)chrony是否已安裝并運(yùn)行# 檢查安裝包 rpm -q chrony # 或使用dnf/yum dnf list installed chrony # 檢查服務(wù)狀態(tài) systemctl status chronyd # 如果未安裝則安裝 dnf install -y chrony啟動并設(shè)置開機(jī)自啟systemctl enable --now chronyd現(xiàn)在用chronyc看看初始狀態(tài)chronyc sources -v這個命令會列出所有配置的時間源。初始狀態(tài)下它可能使用的是發(fā)行版預(yù)置的pool.ntp.org池地址。-v參數(shù)會顯示詳細(xì)信息包括狀態(tài)^*表示當(dāng)前選中的同步源^表示可用的候選源^?表示未連接或狀態(tài)未知、層數(shù)、精度等。3.2 解剖配置文件/etc/chrony.conf主配置文件/etc/chrony.conf的每一行都至關(guān)重要。我們分段解讀。第一部分時間源配置這是核心告訴chronyd向誰同步。# 使用pool指令指向一個NTP服務(wù)器池。系統(tǒng)會從池中自動選擇多個服務(wù)器。 pool 2.rocky.pool.ntp.org iburst # 或者使用server指令指定具體的服務(wù)器?？梢灾付ǘ鄠€。 server ntp1.aliyun.com iburst server ntp2.aliyun.com iburst server time.cloudflare.com iburst # 如果在內(nèi)網(wǎng)有自建的、更精確的NTP服務(wù)器如連接GPS的硬件時鐘優(yōu)先使用。 server 192.168.1.100 iburst preferpoolvsserver:pool指向一個域名該域名背后是多個服務(wù)器地址可以實(shí)現(xiàn)負(fù)載均衡和自動故障轉(zhuǎn)移是推薦做法。server用于指定確定的單個服務(wù)器。iburst一個非常重要的選項(xiàng)。當(dāng)服務(wù)啟動或服務(wù)器不可達(dá)后首次恢復(fù)時chronyd會發(fā)送一連串通常是4-8個數(shù)據(jù)包來快速完成初始測量極大加速初始同步過程。建議始終為每個server或pool條目加上iburst。prefer標(biāo)記為“首選”服務(wù)器。chronyd會給予這個源更高的權(quán)重但最終選擇仍基于算法。通常用于內(nèi)網(wǎng)中更穩(wěn)定、延遲更低的時間源。minpoll和maxpoll定義輪詢間隔的最小和最大值以2的冪秒為單位。默認(rèn)是minpoll 664秒和maxpoll 101024秒約17分鐘。在網(wǎng)絡(luò)穩(wěn)定、追求高精度的內(nèi)網(wǎng)環(huán)境中可以適當(dāng)減小maxpoll例如maxpoll 8256秒。注意過于頻繁的查詢可能會被公共NTP服務(wù)器視為濫用請尊重上游服務(wù)器策略。第二部分時間調(diào)整策略# 允許系統(tǒng)時鐘在前1000秒的偏差內(nèi)進(jìn)行漸進(jìn)調(diào)整超過則步進(jìn)調(diào)整。 makestep 1000 3 # 啟用RTC硬件時鐘的內(nèi)核同步。 rtcsyncmakestep 1000 3這是時間校正策略。1000是閾值秒3是前3次更新的限制。意思是在前3次時鐘更新中如果偏差超過1000秒就步進(jìn)調(diào)整之后無論偏差多大都只用漸進(jìn)調(diào)整。生產(chǎn)環(huán)境建議如果你的服務(wù)器可能因長時間關(guān)機(jī)產(chǎn)生巨大偏差但又擔(dān)心步進(jìn)調(diào)整影響應(yīng)用可以將閾值調(diào)小如makestep 1.0 -1。-1意味著永遠(yuǎn)允許步進(jìn)調(diào)整但1.0秒的閾值使得只有非常大的偏差才會觸發(fā)步進(jìn)通常應(yīng)用能容忍1秒的跳變。更保守的做法是makestep 0.1 -1只允許0.1秒以上的偏差進(jìn)行步進(jìn)但這要求服務(wù)器時間基本保持在線。rtcsync這個指令讓chronyd定期每11分鐘將系統(tǒng)時間同步到硬件時鐘RTC。這非常重要可以確保服務(wù)器重啟后系統(tǒng)時間從一個相對準(zhǔn)確的值開始。務(wù)必啟用。第三部分訪問控制與網(wǎng)絡(luò)# 允許哪些網(wǎng)絡(luò)查詢本機(jī)時間如果本機(jī)想作為NTP服務(wù)器 # allow 192.168.1.0/24 # 監(jiān)聽網(wǎng)絡(luò)端口作為服務(wù)器時 # bindcmdaddress 0.0.0.0 # local stratum 10默認(rèn)情況下chronyd只監(jiān)聽本地回環(huán)地址127.0.0.1。如果你需要讓這臺服務(wù)器為內(nèi)網(wǎng)其他機(jī)器提供時間服務(wù)需要取消注釋并修改allow和bindcmdaddress。local stratum 10當(dāng)所有配置的外部時間源都不可用時chronyd可以將自己聲明為一個層數(shù)為10的本地時間源。這樣內(nèi)網(wǎng)中其他配置了此服務(wù)器為源的客戶端在外部網(wǎng)絡(luò)中斷時仍然能在一個小的局域網(wǎng)內(nèi)保持時間同步雖然可能逐漸漂移。這在隔離網(wǎng)絡(luò)中有用。第四部分其他關(guān)鍵指令# 指定存儲漂移率記錄的文件。chronyd通過它來記住你的時鐘“通常跑多快/多慢”。 driftfile /var/lib/chrony/drift # 啟用內(nèi)核的硬件時間戳支持可以大幅提高局域網(wǎng)內(nèi)時間同步的精度達(dá)到亞微秒級。 # 需要網(wǎng)卡和驅(qū)動支持。 hwtimestamp * # 記錄客戶端訪問日志如果作為服務(wù)器 # logdir /var/log/chronydriftfile這個文件記錄了系統(tǒng)計(jì)算出的時鐘漂移率。不要刪除或隨意修改這個文件。chronyd依靠它來在重啟后快速應(yīng)用已知的漂移率加速收斂。hwtimestamp對于金融交易、高性能計(jì)算等對時間精度要求極高的場景這是“神器”。它利用網(wǎng)卡硬件為網(wǎng)絡(luò)數(shù)據(jù)包打上精確的時間戳繞過了操作系統(tǒng)協(xié)議棧的延遲。啟用前需確認(rèn)網(wǎng)卡支持。3.3 配置實(shí)戰(zhàn)針對典型場景的配置模板場景一標(biāo)準(zhǔn)公有云服務(wù)器目標(biāo)快速、穩(wěn)定同步使用國內(nèi)優(yōu)質(zhì)公共NTP源。# /etc/chrony.conf server ntp.aliyun.com iburst server ntp1.tencent.com iburst server cn.pool.ntp.org iburst server time.apple.com iburst # 作為備用質(zhì)量通常很好 driftfile /var/lib/chrony/drift makestep 1.0 -1 rtcsync keyfile /etc/chrony.keys leapsectz right/UTC logdir /var/log/chrony修改后務(wù)必重啟服務(wù)systemctl restart chronyd場景二內(nèi)網(wǎng)時間服務(wù)器母鐘假設(shè)你有一臺能訪問外網(wǎng)的服務(wù)器192.168.1.10要為整個內(nèi)網(wǎng)192.168.1.0/24提供時間服務(wù)。 在這臺服務(wù)器上配置# /etc/chrony.conf # 上游源 server ntp.aliyun.com iburst server time.cloudflare.com iburst # 允許內(nèi)網(wǎng)訪問并聲明自己為第3層服務(wù)器如果上游是第2層 allow 192.168.1.0/24 local stratum 3 # 監(jiān)聽所有網(wǎng)絡(luò)接口 bindcmdaddress 0.0.0.0 driftfile /var/lib/chrony/drift makestep 1.0 -1 rtcsync在內(nèi)網(wǎng)其他客戶端服務(wù)器上配置# /etc/chrony.conf server 192.168.1.10 iburst prefer # 指向內(nèi)網(wǎng)時間服務(wù)器并標(biāo)記為首選 # 可選增加一個外部源作為備份防止母鐘完全失效 server ntp.aliyun.com iburst driftfile /var/lib/chrony/drift makestep 1.0 -1 rtcsync4. 運(yùn)維與排障用chronyc命令洞察一切配置好了不是結(jié)束日常運(yùn)維和問題排查才是關(guān)鍵。chronyc是你的瑞士軍刀。4.1 監(jiān)控同步狀態(tài)你必須知道的幾個命令chronyc tracking查看時間同步的核心指標(biāo)。chronyc tracking輸出類似Reference ID : C0A8010A (192.168.1.10) # 當(dāng)前同步的源ID Stratum : 3 # 層數(shù)越小越好1最佳 Ref time (UTC) : Thu Apr 10 08:00:00 2024 # 源報(bào)告的UTC時間 System time : 0.000123456 seconds fast of NTP time # 系統(tǒng)時間偏移量 Last offset : 0.000123456 seconds # 最后一次測量的偏移 RMS offset : 0.000012345 seconds # 偏移量的長期平均值均方根 Frequency : 16.234 ppm slow # 時鐘漂移率正數(shù)表示慢 Residual freq : 0.001 ppm # 剩余頻率誤差 Skew : 0.123 ppm # 頻率誤差的估計(jì)界限 Root delay : 0.012345 seconds # 到根時間源的總延遲 Root dispersion : 0.001234 seconds # 到根時間源的累積誤差 Update interval : 64.0 seconds # 最后兩次更新的間隔 Leap status : Normal # 閏秒狀態(tài)重點(diǎn)關(guān)注Stratum應(yīng)在合理范圍如1-5System time和Last offset絕對值應(yīng)非常小理想情況在毫秒甚至微秒級Frequency顯示你的硬件時鐘天生跑得快還是慢。chronyc sources -v查看所有時間源的詳細(xì)狀態(tài)。這是最常用的診斷命令。chronyc sources -v .-- Source mode ^ server, peer, # local clock. / .- Source state * current synced, combined , - not combined, | / ? unreachable, x time may be in error, ~ time too variable. || .- xxxx [ yyyy ] /- zzzz || Reachability register (octal) -. | xxxx adjusted offset, || Log2(Polling interval) --. | | yyyy measured offset, || \ | | zzzz estimated error. || | | \ MS Name/IP address Stratum Poll Reach LastRx Last sample ^* 192.168.1.10 3 6 377 45 -123us[-456us] /- 12ms ^ time.cloudflare.com 2 6 377 46 456us[789us] /- 9ms ^- ntp.aliyun.com 1 6 377 47 -987us[-321us] /- 15ms第一列符號^*是當(dāng)前同步源^是好的備用源^-是候選源但未被選中^?表示源不可達(dá)或狀態(tài)未知。Reachability register (octal)一個8進(jìn)制的數(shù)表示最近8次查詢的成功/失敗歷史成功為1失敗為0。377二進(jìn)制11 111 111表示最近8次全部成功連接非常健康。0或很小的值表示連接有問題。Last sample-123us[-456us] /- 12ms。第一個數(shù)字-123us是調(diào)整后的偏移量第二個方括號內(nèi)的數(shù)字-456us是原始測量偏移量/- 12ms是估計(jì)誤差。偏移量在毫秒ms甚至微秒us級別是正常的。chronyc sourcestats -v查看時間源的統(tǒng)計(jì)信息如偏移、延遲的標(biāo)準(zhǔn)差幫助你判斷源的穩(wěn)定性。chronyc activity查看有多少時間源在線、離線等概要信息。4.2 手動干預(yù)與調(diào)試命令手動立即同步chronyc makestep。有時你想立刻糾正時間可以運(yùn)行此命令。但注意如果偏差超過makestep閾值這會導(dǎo)致步進(jìn)調(diào)整。手動添加/刪除時間源臨時生效重啟服務(wù)后失效chronyc add server ntp.newserver.com iburst chronyc delete server ntp.badserver.com檢查NTP服務(wù)器是否可達(dá)chronyc ntpdata server-ip可以顯示從該服務(wù)器獲取的原始NTP數(shù)據(jù)包信息用于深度調(diào)試。4.3 常見問題與排障思路問題1chronyc sources顯示所有源都是^?不可達(dá)。檢查網(wǎng)絡(luò)ping ntp.aliyun.com是否通防火墻是否放行了UDP 123端口出站對于客戶端出站規(guī)則需要允許udp/123。檢查DNS如果使用域名檢查dig ntp.aliyun.com是否能解析。檢查服務(wù)狀態(tài)systemctl status chronyd確認(rèn)服務(wù)正在運(yùn)行。問題2時間同步了但偏移量offset始終很大幾十到幾百毫秒。網(wǎng)絡(luò)延遲高檢查chronyc tracking中的Root delay。如果超過100ms可能是網(wǎng)絡(luò)路徑不佳。嘗試更換延遲更低的時間源。系統(tǒng)負(fù)載高在系統(tǒng)負(fù)載極高時chronyd進(jìn)程可能無法獲得足夠的CPU時間來進(jìn)行精確測量。檢查系統(tǒng)負(fù)載uptime和chronyd進(jìn)程的CPU使用率。虛擬機(jī)時鐘問題虛擬機(jī)特別是KVM、VMware的虛擬時鐘可能不穩(wěn)定。確保安裝了VMware Tools或VirtualBox Guest Additions并啟用時間同步功能。對于KVM可以考慮在宿主機(jī)和客戶機(jī)都使用chrony并配置/etc/chrony.conf中的rtcsync和更積極的makestep參數(shù)。有時在虛擬機(jī)中需要禁用ntpd或timesyncd避免多個時間服務(wù)沖突。問題3chronyc tracking顯示Stratum很大比如16。所有時間源都丟失這意味著chronyd無法與任何配置的上游服務(wù)器通信并且local stratum指令也未啟用或生效。它會將自己標(biāo)記為未同步的層16時鐘。檢查網(wǎng)絡(luò)和源配置。local stratum未生效如果你希望在沒有外部源時作為本地源確保配置了local stratum 10或其他數(shù)字非16并且allow了客戶端網(wǎng)段。問題4時間同步服務(wù)與其他服務(wù)沖突。與systemd-timesyncd沖突一些較新的發(fā)行版如Ubuntu 16.04默認(rèn)使用systemd-timesyncd進(jìn)行輕量級時間同步。如果安裝了chrony務(wù)必禁用systemd-timesyncdsystemctl stop systemd-timesyncd systemctl disable systemd-timesyncd。與ntpd沖突兩者不能同時運(yùn)行。使用systemctl stop ntpd systemctl disable ntpd禁用ntpd。5. 進(jìn)階話題與生產(chǎn)環(huán)境實(shí)踐5.1 虛擬化環(huán)境下的時間同步挑戰(zhàn)在VMware、KVM、Hyper-V等虛擬化環(huán)境中虛擬機(jī)的時鐘是個“老大難”問題。虛擬機(jī)的時鐘依賴于宿主機(jī)的時鐘和CPU的計(jì)時器如TSC在虛擬機(jī)被調(diào)度休眠或宿主負(fù)載高時虛擬時鐘容易發(fā)生“漂移”甚至“跳變”。最佳實(shí)踐組合拳宿主機(jī)層面確保宿主機(jī)自身的時間同步是精準(zhǔn)和穩(wěn)定的。在宿主機(jī)上配置chrony使用可靠的外部源并啟用hwtimestamp如果硬件支持。虛擬機(jī)工具務(wù)必安裝并運(yùn)行VMware Tools、VirtualBox Guest Additions或KVM的virtio驅(qū)動。這些工具提供了與宿主機(jī)時鐘同步的“準(zhǔn)虛擬化”接口比純粹模擬的硬件時鐘穩(wěn)定得多?？蛻魴C(jī)配置在虛擬機(jī)內(nèi)chrony配置需要更“激進(jìn)”。減小maxpoll增加同步頻率例如maxpoll 664秒。調(diào)整makestep使用makestep 0.1 -1允許對超過0.1秒的偏差進(jìn)行步進(jìn)調(diào)整。對于虛擬機(jī)小的步進(jìn)調(diào)整亞秒級通常比大的漸進(jìn)漂移對應(yīng)用影響更小。禁用其他同步源確保虛擬機(jī)內(nèi)只運(yùn)行chronyd并禁用任何由虛擬化平臺注入的舊式時間同步如VMware的tp服務(wù)?？紤]使用chrony的smoothtime功能實(shí)驗(yàn)性它可以嘗試平滑處理來自虛擬化工具的時間更新減少跳變感。5.2 容器與Kubernetes中的時間容器共享宿主機(jī)的內(nèi)核因此也共享系統(tǒng)時鐘。容器內(nèi)部無法運(yùn)行chronyd來獨(dú)立調(diào)整時間。這意味著宿主機(jī)時間必須準(zhǔn)確所有運(yùn)行容器的宿主機(jī)節(jié)點(diǎn)其時間必須通過chrony或其他方式保持高度同步。在K8s集群中這是節(jié)點(diǎn)準(zhǔn)備的基本要求。容器內(nèi)應(yīng)用的處理如果你的容器化應(yīng)用對時間極其敏感需要考慮在應(yīng)用層面使用NTP客戶端庫如ntplib直接查詢外部NTP服務(wù)器但這會增加復(fù)雜性和網(wǎng)絡(luò)依賴。更常見的做法是確保宿主機(jī)時間可靠并信任它。5.3 閏秒處理閏秒是偶爾被添加到協(xié)調(diào)世界時UTC中的一秒以補(bǔ)償?shù)厍蜃赞D(zhuǎn)的微小變化。chrony默認(rèn)知道如何處理閏秒。chronyc tracking輸出中的Leap status字段會顯示狀態(tài)Normal、Leap second等。chrony支持兩種處理方式在閏秒時刻通過step跳秒或slew在更長時間內(nèi)微調(diào)時鐘頻率來消化這一秒?，F(xiàn)代Linux內(nèi)核和chrony的默認(rèn)配合通常是平滑處理。對于金融交易等極端場景需要關(guān)注閏秒公告并進(jìn)行測試?？梢酝ㄟ^chronyc leapsectz查看配置的時區(qū)閏秒信息。5.4 安全考慮認(rèn)證chrony支持使用對稱密鑰keyfile進(jìn)行NTP消息認(rèn)證防止中間人攻擊或惡意NTP服務(wù)器。這在嚴(yán)格的內(nèi)網(wǎng)安全要求中可能需要配置。服務(wù)暴露除非必要不要將chronyd綁定到公網(wǎng)IPbindcmdaddress 0.0.0.0。如果作為內(nèi)網(wǎng)時間服務(wù)器使用防火墻嚴(yán)格限制訪問源IPallow指令是第一道防線但結(jié)合主機(jī)防火墻如firewalld或iptables是更佳實(shí)踐。6. 從理論到實(shí)踐一次完整的時間偏差排查實(shí)錄最后分享一個我最近遇到的實(shí)際案例。監(jiān)控報(bào)警顯示某臺運(yùn)行Java應(yīng)用的服務(wù)器其日志時間與日志收集中心的時間存在約5秒的固定偏差。第一步快速確認(rèn)問題登錄服務(wù)器先用date命令查看系統(tǒng)時間同時用curl訪問一個提供精確時間的API如http://worldtimeapi.org/api/timezone/Etc/UTC進(jìn)行對比確認(rèn)偏差確實(shí)存在。第二步檢查chrony狀態(tài)chronyc tracking發(fā)現(xiàn)System time顯示5.123456 seconds fast。說明chronyd已經(jīng)意識到了這5秒的偏差。第三步分析時間源chronyc sources -v發(fā)現(xiàn)當(dāng)前同步源^*的Reach值是177二進(jìn)制01 111 111表示最近8次中有7次成功有一次失敗。Last sample的誤差/-值較大達(dá)到/- 100ms。而另一個備用源^的Reach是377全成功誤差只有/- 10ms。這說明當(dāng)前選中的源質(zhì)量不穩(wěn)定。第四步深入探查與干預(yù)為什么chronyd不切換到更好的源運(yùn)行chronyc sourcestats查看歷史統(tǒng)計(jì)發(fā)現(xiàn)當(dāng)前源雖然最近有一次失敗但其歷史測量的偏移標(biāo)準(zhǔn)差Std dev很小而備用源雖然當(dāng)前延遲低但過去一段時間偏移波動較大。chrony的算法更傾向于長期穩(wěn)定的源這是合理的但也導(dǎo)致了當(dāng)前偏差無法快速糾正。第五步手動干預(yù)與驗(yàn)證由于業(yè)務(wù)對時間敏感我決定手動干預(yù)。首先嘗試讓chronyd立即重新評估并同步chronyc makestep。但偏差5秒超過了默認(rèn)的makestep 1000 3閾值所以它執(zhí)行了步進(jìn)調(diào)整。應(yīng)用日志出現(xiàn)了1條關(guān)于時間跳變的警告但之后恢復(fù)正常。步進(jìn)調(diào)整后再次檢查chronyc tracking偏移量變?yōu)槲⒚爰墶榱祟A(yù)防未來再次因源質(zhì)量導(dǎo)致偏差累積我修改了/etc/chrony.conf將不穩(wěn)定的那個時間源注釋掉。增加了兩個新的、知名的低延遲公共NTP源。將makestep策略改為makestep 0.5 3允許在啟動初期對超過0.5秒的偏差進(jìn)行步進(jìn)調(diào)整以期更快收斂。重啟chronydsystemctl restart chronyd。觀察幾分鐘后運(yùn)行chronyc sources -v確認(rèn)新的源被選中且狀態(tài)健康Reach值為377。經(jīng)驗(yàn)點(diǎn)chrony的“智能”算法大多數(shù)時候是優(yōu)點(diǎn)但在時間源質(zhì)量發(fā)生微妙變化時它可能“戀舊”。作為運(yùn)維人員不能完全放任自流需要定期比如通過監(jiān)控chronyc tracking的偏移量檢查同步狀態(tài)。對于關(guān)鍵業(yè)務(wù)服務(wù)器配置多個高質(zhì)量、低延遲、來自不同運(yùn)營商的時間源是性價比最高的穩(wěn)定性提升手段。