+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Опять NTP сводит меня с ума, теперь в версиях 6.x.

Опять NTP сводит меня с ума, теперь в версиях 6.x., RouterOS

WirelessRudy

Guest

03.12.2013 23:44:00

Всё было настроено и работало отлично. Сначала был один RB1000 с sntp, который синхронизировался. Установил пакет sntp, чтобы он мог быть NTP сервером, и это работало. На следующий день сделал апгрейд до версии 6.x, синхронизация пропала. Удалил пакет ntp, после перезагрузки RB1000 синхронизировался с теми же time server'ами. Снова перезагрузил с пакетом ntp – синхронизации нет… Теперь это в v.6.4, 6.5 и 6.6. Теперь, уже несколько дней, даже sntp больше не синхронизируется… Был CCR, работавший в качестве time server для моих локальных клиентов в течение нескольких месяцев. Работало отлично, проблем не видел. Два дня назад понадобилось перезагрузить CCR, и в последующие дни обнаружил, что многие клиенты потеряли синхронизацию времени. Они все "смотрят" на этот CCR для синхронизации времени. Так что сегодня потратил несколько часов, чтобы попытаться снова синхронизировать мой CCR. Безрезультатно. Пробовал все возможные правила firewall для ntp (udp или tcp порт 123) в forward, output и input цепочках. Не говоря уже о входящих или исходящих портах CCR. Сейчас запускаю torch на LAN порту CCR и вижу массу клиентов, запрашивающих ntp, но все tx rate – "0". При этом, когда запускаю torch на WAN порту для исходящих пакетов (с dst портом или 'любой порт' 123 как в udp, так и в tcp), я не вижу ни одного пакета, выходящего… Похоже, что каким-то образом протокол времени больше не покидает роутеры? Когда я ставлю firewall фильтр на LAN порту (исходящий интерфейс) для разрешения трафика ntp, счетчик остается "0". В окне ntp клиента (winbox) ntp клиенты просто "висят" в статусе "started".

Какие есть предложения по устранению неполадок? Или это опять ошибка в софте?

WirelessRudy

Guest

04.12.2013 00:14:00

Что я делаю не так? CCR = мой интернет-шлюз.
/system ntp client> pr enabled: yes mode: unicast primary-ntp: 217.127.2.161 secondary-ntp: 94.125.129.7 dynamic-servers: status: started
/system ntp server> pr enabled: yes broadcast: yes multicast: no manycast: yes broadcast-addresses: 10.10.xx.1 #10.10.xx.1 - это дефолтный шлюз для всех клиентов и роутеров в локальной сети. В этом роутере происходит src-nat, чтобы дать клиентам публичные IP-адреса #CCR имеет все, кроме .1 (который является адресом шлюза провайдера) на своем WAN-интерфейсе. В брандмауэре NAT я установил правило srcnat;
0 chain=srcnat action=src-nat to-addresses=89.140.xxx.2 protocol=udp out-interface=ether1-WAN dst-port=123
Это первое правило, так что NTP-запросы должны быть в состоянии покинуть роутер? Ну, счетчик стоит на “0”.
В брандмауэре фильтра нет исходящих правил (роутер может выходить с любым трафиком, инициированным с этого роутера...).
В брандмауэре фильтра, входящие;
0 ;;; Accept udp prt 123 ntp time protocol chain=input action=accept protocol=udp in-interface=ether1-WAN dst-port=123
1 ;;; Accept udp prt 123 ntp time protocol chain=input action=accept protocol=udp in-interface=User_Man_bridge dst-port=123
#0 - для собственного запроса времени сервера роутера. 1 - для клиентов, запрашивающих сервер времени в этом роутере. (Локальный интерфейс - это мост, содержащий 2 ethernet-интерфейса)
#0 не считает. 1 считает как резаный (500+ единиц без времени!).
Я запускаю torch на интерфейсе моста и вижу rx rate для любого устройства в моей сети, запрашивающего временную метку, но Tx rate все равно “0”. Так что очевидно, что CCR не отвечает…
Я также установил правило переадресации в брандмауэре (на самом деле 3, см. код), чтобы клиент мог напрямую запрашивать интернет-серверы времени;
0 ;;; allow passing ntp time sync protocol chain=forward action=accept protocol=udp src-port=123
1 ;;; allow passing ntp time sync protocol chain=forward action=accept protocol=udp dst-port=123
2 ;;; allow passing ntp time sync protocol chain=forward action=accept protocol=udp port=123
#Я установил разные порты просто для того, чтобы увидеть, какой из них «поймает» трафик от клиентов. Только «0» считает.
#Раз я не указал входящий или исходящий интерфейс, эти правила должны «ловить» весь трафик NTP, проходящий через роутер? Что ж, хотя «0» считает, ни один из моих клиентов не получает обновления времени (я попробовал несколько, включая тот, что с моего ПК с Windows, который работает нормально), но ни один из моих клиентов не получает временную метку…
Есть еще какие-нибудь предложения?

samsung172

Guest

04.12.2013 03:26:00

Я два раза указал один и тот же NTP-сервер в конфигурации. Похоже, это мне помогает. Если бы был только один, то работало бы как попало, то работало, то нет.
/system ntp client> print
enabled: yes
mode: unicast
primary-ntp: 172.31.255.6
secondary-ntp: 172.31.255.6
poll-interval: 1m4s
active-server: 172.31.255.6
last-update-from: 172.31.255.6
last-update-before: 17s930ms
last-adjustment: -38ms701us
/system ntp client> export
/system ntp client set enabled=yes mode=unicast primary-ntp=172.31.255.6 secondary-ntp= 172.31.255.6
/system ntp client>

WirelessRudy Guest	#4 0 05.12.2013 00:08:00 Я это уже пробовал. Безрезультатно. Пробовал разные «валидные» NTP-серверы. Мы удалили все правила файрвола, которые «дропят» трафик, так что вся информация должна проходить или покидать роутер. Но что бы мы ни делали, кажется, мы больше не можем достучаться ни до одного NTP-сервера… Клиенты, использующие пакет sntp, показывают свои NTP-серверы как "активные", но нет никаких полученных временных меток…

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры