Jak diagnostikovat nefunkční NTP - solved

pelirob

Dobrý večer,
na různých místech a u různých providerů mám cca stejně nastavené mikrotiky, verze ROS 6.47.10. Oba mají v konfiguraci napsáno:

/system ntp client set enabled=yes primary-ntp=217.31.202.100

Jeden z nich ale vůbec nechce synchronizovat čas, vypadá to že alespoň týden, možná i déle. Restart nepomohl, změna NTP serveru za jiný také ne. Firewall je v obou MK nastavený stejně, provider tvrdí že NTP protokol neblokuje.
Máte prosím někdo libovolný nápad jak zjistit kde je problém, případně jak dokázat providerovi že má problém v síti?

ludvik

Otázkou je, jestli je to opravdu tvůj problém - a zda ti to jinde funguje:

#ntpdate -d ntp.nic.cz
 8 Sep 23:40:03 ntpdate[11359]: ntpdate 4.2.4@1.1437-o Sun Jan 21 16:56:34 UTC 2007 (1)
Looking for host ntp.nic.cz and service ntp
host found : ntp.nic.cz
transmit(217.31.202.100)
receive(217.31.202.100)
transmit(217.31.202.100)
receive(217.31.202.100)
transmit(217.31.202.100)
transmit(217.31.202.100)
transmit(217.31.202.100)
217.31.202.100: Server dropped: strata too high
server 217.31.202.100, port 123
stratum 16, precision -6, leap 11, trust 000
refid [217.31.202.100], delay 0.02798, dispersion 24.00009
transmitted 4, in filter 4
reference time:    00000000.00000000  Thu, Feb  7 2036  7:28:16.000
originate timestamp: e4e3ac33.60637bd0  Wed, Sep  8 2021 23:40:03.376
transmit timestamp:  e4e3ac34.5fa1d323  Wed, Sep  8 2021 23:40:04.373
filter delay:  0.02798  0.04373  0.00000  0.00000
         0.00000  0.00000  0.00000  0.00000
filter offset: -0.00105 -0.00124 0.000000 0.000000
         0.000000 0.000000 0.000000 0.000000
delay 0.02798, dispersion 24.00009
offset -0.001056

 8 Sep 23:40:05 ntpdate[11359]: no server suitable for synchronization found

Používej vždy dva servery, pokud možno z jiných sítí. Třeba tik.cesnet.cz.

pelirob

ludvik Mě ten mikrotik nesyncuje čas ani při nastavení serveru na ntp.org...
výpis system ntp client print ukáže jen

system ntp client print 
enabled: yes
primary-ntp: 217.31.202.100
secondary-ntp: 162.159.200.123
server-dns-names: 
mode: unicast
poll-interval: 16s
active-server: 162.159.200.123

a vůbec nic dalšího. Buď se o tu komunikaci s 162.159.200.123 vůbec nesnaží, nebo to cestou někde něco "žere"

coitus

pelirob
tools / torch ti ukazuje ze sa mikrotik pokusa dopytovat ntp servra na cas?

ludvik

Víc ti poradit neumím. ntpdate je z linuxového ntpd balíčku. Jestli to existuje pro windows netuším a z mikrotiku toho asi víc nevytáhneš.
Já ale používám v mikrotiku radši NTP (extra balíček, ne default SNTP). Sice toho víc neřekne, ale problému jsem si zatím nevšiml.

Je fakt (viz coitus), že to můžeš zkusit odsledovat. Buď torchem, nebo Snifferem. Jde o UDP port 123.

pelirob

ludvik Já spíš řeším, že to roky fungovalo a najednou to dva dny od 3:00 ráno nefunguje. Tak buď umírá ten MK, ale všechno ostatní zatím funguje, nebo začal provider někde něco blokovat.

ekrajnak

pelirob tipujem ze to bude blokovane firewallom po nejakom ddos utoku, nakolko sa NTP dost zneuziva.

hapi

Torch

pelirob

hapi Když sleduji komunikaci UDP 123 na vstupním interface, tak ano, vidím vidím občas packety z 162.159.200.123 (217.31.202.100) ==> moje IP adresa, ale čas se stále nesyncuje.
Ale uvědomil jsem si, že v lokalitě mám ještě jednu RB2011, která slouží jako switch a wifi v jedné z kanceláří - dostal jsem se na ni přes RoMON a vidím že taky nesyncuje NTP ani s jedním NTP serverem, co jsem vyzkoušel. Když se ale podívám na Win10 stanice, které jsou za tím prvním MK, tak mají datum a čas v pořádku. Dostávám normální odpověd na
w32tm /stripchart /computer:217.31.202.100 /dataonly /samples:5

Nějaké další nápady?

soban

Já mám:

`/system ntp client export
 sep/09/2021 17:36:48 by RouterOS 6.47.10
 software id = N4XT-6Y5V

 model = RBD52G-5HacD2HnD

/system ntp client
set enabled=yes server-dns-names=0.cz.pool.ntp.org,1.cz.pool.ntp.org,2.cz.pool.ntp.org,3.cz.pool.ntp.org

 /system ntp client print 
                 enabled: yes
             primary-ntp: 0.0.0.0
           secondary-ntp: 0.0.0.0
        server-dns-names: 0.cz.pool.ntp.org,1.cz.pool.ntp.org,2.cz.pool.ntp.org,3.cz.pool.ntp.org
                    mode: unicast
           poll-interval: 15m
           active-server: 2606:4700:f1::1
        last-update-from: 2606:4700:f1::1
      last-update-before: 8m44s610ms
         last-adjustment: 12ms363us
    last-bad-packet-from: 147.251.48.140
  last-bad-packet-before: 3w6d2h51m9s650ms
  last-bad-packet-reason: server-not-synchronized`

Ještě bych skusil nastavit /ip cloud set update-time=yes
Zda i toto nebude fungovat.

Jinak pak musí být zrada někde na firewallu že zahazuje - nepropustí pakety na ten mikrotik.

A ještě mě napadá zda nebude problém třeba s IPv6 pokud to používáš a nebo někde v NATu u IPv4

pelirob

soban Tak /ip cloud set update-time=yes byl nastavený.
Problém je alespoň částečně vyřešen - když nastavím přímo NTP server providera, tak se čas synchronizuje. Tak že bude problém někde v síti. Řešíme to dál...

ludvik

Předpokládám, že jsi zkoušel logovat. To nic neřekne? Mě na ROS 6.48.4 SNTP na 162.159.200.123 funguje.

pintero

Dostane se ten mikrotik na internet? 🤪
Moje mikrotiky na internet přístup nemají a musím jim dávat vnitřní adresu mého ntp serveru…

pelirob

pintero Jo, na internet se dostane, je to kancelář s několika PC a MK jako bránou. Vzdáleně se dostanu jak na mikrotika, tak na PC za ním.

pelirob

Vyřešeno, funguje. Problém nebyl v konfiguraci MK, ale u nadřazeného providera.