NTP (1)
NTPサーバおよびクライアントに関するスレ リンクなどは>>2 以降で 起動スクリプトでobsoleteなntpdateを使ってるなんてどこのクソLinuxなんだ?w ntpdを起動したときのバーストモードで十分だろ。 >>411 意外にnictより先にmfeedの準備が整うとmfeedを使い始めたりもする。 mfeedは時間あたりパケット数を聞いたことが無いからmfeedはiburstを付けて さっさと同期するようにしてる。 >>412 iburstでもずれ過ぎのサーバーに強制セットされるから問題は同じだよ >>412 >起動スクリプトでobsoleteなntpdateを使ってるなんてどこのクソLinuxなんだ?w FreeBSD8.1ですが、なにか? ntpdに-g付ければ解決。 「FreeBSD8.1が使っている」んじゃなくて「>>414 がFreeBSD8.1で使っている」が正しい。 >>415 -g 付けたらntpdateと一緒の問題が発生するだろw -g 外さなきゃ。 >>416 話の流れ読もうね。 起動時にクロックが大きくずれているマシンだからntpdateが必要。 でも、それはntpd -gでOKという話。 >>417 で、ntpdateであろうが ntpd -g であろうが問題が発生するだろw 話の流れはこっちなんだがw >>409 の話だよね。 ntpd -g じゃ解決にならんでしょ。 >>418-419 > 起動スクリプトでobsoleteなntpdateを使ってるなんてどこのクソLinuxなんだ の話だよ。でも>>414 はうそつき。6年も前にnptd -gに変更されている。 http://www.freebsd.org/cgi/cvsweb.cgi/src/etc/rc.d/ntpd Revision 1.9: download - view: text, markup, annotated - select for diffs Tue Sep 14 03:01:38 2004 UTC (6 years, 4 months ago) by seanc Branches: MAIN Diff to: previous 1.8: preferred, colored Changes since revision 1.8: +5 -0 lines Stop using ntpdate(1) in our startup proceedure. Replace ntpdate(1) with calls to ntpd -g. ntpd is noticably slower than ntpdate, but is also more accurate. This removes the nasty hackery in rc.d/ntpdate that would parse out ntp servers from /etc/ntp.conf (ntpd knows how to read its own config file). By default, ntpd *will* sync with its listed time servers. To turn this off so that ntpd does not sync, ntpd_sync_on_start="NO" can be added to /etc/rc.conf. If ntpd is not enabled (the default), then time is not synced on startup. ntpdate's use has been depreciated by the ntpd authors for quite some time so this change shouldn't be unexpected. クロックがバッテリバックアップされていない等、起動時に大きくずれているケースがある。 年単位でずれてるんだから、オプショナルで-gを追加せざるを得ない。 FreeBSDの場合はこう。 http://www.freebsd.org/cgi/cvsweb.cgi/src/etc/rc.d/ntpd?rev=1.17 ;content-type=text%2Fplain if checkyesno ntpd_sync_on_start; then rc_flags="-g $rc_flags" fi だから、今回ようなのはやられる場合がある。 相手を4か所以上設定して3ヶ所くらいが正常ならやられないだろ。 ntpdは起動後しばらくSLEEPして最初の同期までに時間があって、初回同時時は 高確率でsettimeofdayで時刻がリセットされる。 ところがdovecotのように時刻が逆戻りしたことを検知するとエラーを吐いて死ぬ デーモンもいるもんだから、 @ntpdateコマンドを使って時刻を直ちに同期 Antpdを起動(ntpdが動いてる間はntpdateは実行できないからこの順番) B時計に厳しいその他のデーモンを起動 Fedora11はこんな起動シーケンスになってるぞ。RHEL5もそうだったと思う。 >>424 /etc/init.d/ntpdには確かにntpdateの記述もあるけど、 これはif文で場合分けされていて、 /etc/sysconfig/ntpdにそれ用のオプションを記述してない限り ntpdateは起動されないよ。 その代わり、ntpd -gで起動される。 -gで、ntpd起動時に限り即時に時刻がセットされるから、 効果はntpdateと同じ。 >>424 SYNOPSIS ntpdate [-46bBdoqsuv] [-a key] [-e authdelay] [-k keyfile] [-o version] [-p samples] [-t timeout] server ... DESCRIPTION Note: The functionality of this program is now available in the ntpd(8) program. See the -q command line option in the ntpd(8) page. After a suitable period of mourning, the ntpdate utility is to be retired from this distribution. 「将来のバージョンでは廃止」と言いつつ、結局消えなかったnslookupと同じ匂いがする。 ntpdateもそれはそれで便利だし、このまま結局消えないに1票。 でもnslookupはさすがにdigよりは不便だから使ってないよ ntpdateの方はまだ習慣で使っちゃってるなぁ 例えば、ntpdで時刻を合わせてるマシンがローカルネット内にいっぱいあるなら そいつらを相互に同期させておけば嘘時計が混ざってもすぐ発見できるし、 ローカル内の時刻の同期は保たれると思うけど、そういう設定はどう書くの? 実はIPv6でアクセスした方がディレイが少なくなる? トンネルを介してるから相当ディレイがあるかと思ったら 意外にも1ミリ秒ほど早いw >>429 例えばローカルにサーバが3台あるなら、以下のように書けばOK ローカルのNTPサーバがそれぞれ異なるNTPサーバを参照して、 ローカル同士では相互に時刻を参照しあう。 #サーバ1 server ntp1.jst.mfeed.ac.jp peer localserver2.example.jp peer localserver3.example.jp #サーバ2 server ntp2.jst.mfeeed.ad.jp peer localserver1.example.jp peer localserver3.example.jp #サーバ3 server ntp3.jst.mfeed.ad.jp peer localserver1.example.jp peer localserver2.example.jp >>432 ありがとうございます。 peerがポイントですね? >>431 パケットが往復する時間かな? テレビとかラジオのポッポッポッポーンって音を使って修正するなにかってある? いつの間にかサイトなくなってたのか。 ttp://web.archive.org/web/20060822040313/http://tips.kajiki.com/adjtmbyradio/ >>436 残念ながらプログラムはftpで配布されてたようで、IAに残っていない。 あるだろうと思ったらあったのかw ありがとうございます。 iburst dynamic の意味がマニュアル見てもぜんぜん分からないので、 だれかお母さんみたくやさしく根気強く教えてください >>439 うちの母親だったら自分で調べなさいって怒ると思う >>440 可哀想に…生まれてから虐待ばかりで親身に接してくれなかったんだな 1分に10秒くらい遅れる時計を持ったPCの時刻を それなりに正しく保ちたいとき、ふつうにNTP使っても うまくいかないですよね。(途中で死ぬ) こういうとき、うまくやる方法としては何がありますか? ntpd.confのtinkerでいろいろできるらしいけど、そんな腐ったブツにであった 人間は世界中で10人に満たないだろうから、世界で1人だけのデバッガーになる 可能性が高い。まず、捨てることを考えた方が良い。 もしかして、emacsスレにいたイジメにあってる人? >>444 まあいわゆるVMがらみなんですけどね emacsは使わないから知らん >>445 愛が足りないだろ >>446 VMWareで時刻がずれまくるってやつだろ? @vmware-toolsでどうにかならないか? Aマシン本体のBIOSの設定でEISTまたはSpeedStepを無効化。 あと最新型でTurboBoostがある場合はコレも無効化。 要するにCPUクロック周波数を固定化する。 VMWare でのズレはあきらめてるなあ。 クロックは落としたいし。 Emacs スレのいじめられてる人ワロタw >>447 VirtualBoxなんだけど、3分おきくらいにしか修正してくれないんだ 周波数も固定してんだけどまあずれることずれること >>449 VBoxってqemuがベースになってるはずなのにね どうしてこんなことに・・・ FreeBSDホストのVirtualBoxは全然ずれないぞ。 WindowsでもGuestaddtionがよきにはからってくれるはず。 こんな記述があるな。 http://www.virtualbox.org/manual/ch09.html#changetimesync 初代玄箱(Debian化)のハードウェアクロックがずれまくるので、 adjtimexでKernel Timeとのずれを調整する、ってのが定番だった。 一定の割合でずれていく場合に有効なので、VMに適用できるかどうかわからないけど。 時刻に対して外からツッコミを入れると時間が逆行したぞエラーが出るよね。 >>443 Drift が 500PPM を超えている場合は tickadj コマンドを使う(非推奨) http://www.eecis.udel.edu/ ~mills/ntp/html/tickadj.html あるいは文書化されていないが ntp_tick_adj というカーネルパラメーター を用いても同様のことができる http://lxr.linux.no/linux+v2.6.38/kernel/time/ntp.c#L950 てゆうかそもそも linux の時刻管理機能は絶望的にぶっ壊れてるから メンテナを更迭してゼロから作り直さない限りどうしようもないと思う http://lists.ntp.org/pipermail/bugs/2009-November/010837.html >David L. Mills wrote: >I have no interest in Linux stupidity other than to recommend they >learn form FreeBSD, who have got it rightr. You should tell them that. NTPで補正できるのって何パーセントの遅れまでだっけか どっかに計算式があった気がするが忘れたな・・・ なんかごちゃごちゃいじって 時計の遅れを1%以下にしたぞ・・・ これでNTPデーモン動かしてちゃんと動作してくれるかな・・・ >>458-459 500ppm = 0.05% だから無理だろうね そういやJJYで合わせてる時計に異常が出てるという話があるけど 影響出てる人いる? 何故かmfeedのIPv4とIPv6で時間がズレてるw NTP って UDP だけど、ソースアドレスを詐称されたパケットが(偽)サーバから やってきたらデタラメな時刻に変更されちゃうの? いちおう公開鍵認証のしくみもあるみたいだけど、mfeed とか nict とかでは 使えないから意味ないよね? 認証なしでもある程度は防げたりとかしないの? ソースアドレスを詐称されると完全に防ぐのは無理だろうな。 試しにNICTと同期した時のパケットをキャプチャしてみたけど、 一応NTPサーバの応答電文中に「Reference Clock ID」なる フィールドがあって、このフィールドにASCII4文字でNICTと 書いてある。でもいくらでも詐称できそうだ。 不安ならntpdateを定周期で実行し、ntpdateの起動前後にUDP123 をブロックするiptablesルールを上げ下げするとか。これで攻撃が 成功するのはntpddateが実行されているごく短時間だけになる。 またはデータセンターとかで予算もあるならGPS衛星や電波時計を タイムソースに使うNTP専用サーバーマシンもある。 GPSベースのNTPタイムソースはUSB接続のGPSアンテナとLinux 用ドライバのソースとC言語の知識があれば個人で作ることも不可能 ではない。「USB GPS」で検索するとデバイス自体は5000円位で手に 入るようだ。 ズレてる時計は嘘時計として撥ねる機能があるから、詐称されたパケットを飲まされたくなかったら 少なくとも2つか3つのサーバの時刻を参照していればいいんじゃないの? DNSでやってるみたいなsource port randomizationってNTPでも使えないかしら。 そうすれば、16bitの乱数を一致させなきゃ嘘時刻を注入できない。 問い合わせのソースポートが123じゃなきゃダメなんてルールはないよね? ダメならNAPTの裏にいるホストからNTPが使えないし。 man ntp.confしてみたら、restrict ... ntpportと設定することで 123以外からのパケットを蹴れるんだな……。 port randomizationすると、サーバの設定によってはダメってことか。 一定以上ずれてたらずれ過ぎってことで修正されなくなるでしょ。 なるほど、ちょっとだけズレた時刻を何度も繰り返し注入しつづければいいんだ。 でも嘘時刻を流し込むことで「同期を外させる」攻撃はできるってことか ソースIPアドレスの詐称って簡単にできるモノなの? UDP なら簡単。 ただし、まともな ISP では詐称パケットがネットワークをまたいで よそに出ていかないようなフィルタをかけてることが多い。 バレずにやるのは非常に難しいと思うけどね。 時刻を取得する相手をすべて把握してその相手へのリクエストが行われたあとに その相手のレスポンスよりも先に嘘時刻を叩き込むということをすべての相手に対して行う。 しかもその嘘時刻は嘘時刻と認識されないギリギリのズレでなければならない。 とか。地味過ぎる。 仮に少しずつ時刻をずらす攻撃が成功したとして 攻撃側のメリットって何があるんだろう 時刻が飛ばないんだから、ログを誤魔化すには至らないよな 時間制限物を引き延ばすにしても誤差レベルでしかないし。 この前経路か何かの問題でmfeedのIPv6のサーバーのディレイが大きくなってて そのサーバが100msくらいズレた時刻を返してるように見えてたけど、 そのレベルでもう嘘時計扱いになってたよ? だから少なくともそれ以下にずれた嘘時刻を256秒とか512秒とか1024秒ごとに ターゲットに喰わせないといけない。 ほんと手間の割に得られるものが少ないよね? しいて言えばKerberos5認証みたいに端末とサーバーの時刻が大きくずれると 認証できないメカニズムを破綻させることくらいだろうな。たしかKerberos5は15分 以上のずれがあると暗号がかみ合わずに認証失敗する仕様だったろ? たとえばWindowsのActiveDirectory認証とかで認証サーバーにうその時刻を教え 込むと、あわよくばドメインの機能を停止させられるかもしれない。 時刻をずらすのを狙うよりも ntpd自体の脆弱性を狙うほうが現実的だろうな ちょっと話はそれるのですが、nictが配信している時刻は日本標準時間。 その他サーバだと大抵は世界標準時。この2つの実質的な違いは、うるう 秒の丸めタイミングだけという理解で正しいですか? >>478 全部間違ってる。 NTPサーバはJSTでもUTCでもなくてNTP時間を配信している。 うるう秒は全世界同時に挿入/削除される。 NTP Timeはプロトコル上の時刻表現方法に過ぎなくて、実体はUTCそのものでしょ NTP Timeという時刻系が運用されてるわけじゃない ちなみにNICTのNTPサーバは JSTを生成する原子時計を時刻源と しているから、JSTを配信していると言っても間違いではないと思う WindowsってUnix系のOSみたくミリ秒のオーダーって合わせてくれないの? 複数台のパソコンの時計のばらつきが N x 10ms になってるように見える >>481 JST-0900の変則時刻を配信してるってこと? JSTを配信してたら、他のタイムサーバと混ぜられないでしょ >>486 NTPの配信時刻にはタイムゾーンは無い。つまり世界協定時ベースの時刻なんだけど、 やっぱりうるう秒の丸めとかのように日本の暦としてあえて世界協定時を外している部分 の扱いが他のNTPサーバと違うんじゃないか? >>481 ,487 >JSTを生成する原子時計を時刻源 NICTの原子時計はUTCを作ってる http://jjy.nict.go.jp/mission/page2.html UTCがベースだからうるう秒の挿入タイミングが違うなんてこともない NICTが作ってるUTC/TAIと称するものは、あくまでもNICTが所有している 原子時計を計測して決めたUTC/TAIであって本当のUTC/TAIではない。本当の UTC/TAIは、各国の機関が作ったTAIの加重平均から最終的に求められる。 一方、日本標準時というのは、UTC(本物)+9 ではなく、UTC(NICT)+9という ことになっている。UTC(本物)とUTC(NICT)の差は 10ns未満になるように調整 されているとはいえ、誰が決定したかという観点では違う。 NICT NTPサーバは、UTC(NICT)を配信しているが、それを機械的に+9すれば 直ちに正確な日本標準時が得られるので(NTPによる誤差は除く)、JSTを配信 していると言っても過言ではないという理屈。実際NICT自身も日本標準時を 配信していると言ってる。 http://www2.nict.go.jp/w/w114/tsp/PubNtp/index.html >>490 ここまで厳密な話をすると、UTC(本物)もUTC(NICT)も(UTC(GPS)も)、 差は0ではないので、うるう秒の挿入タイミングも完全に同時ではない ことになる。 定義はそうだけど、NTPのソースとして見る場合には UTC(本物)=UTC(NICT)と考えて差支えないのでは。 ちなみにUTC(本物)ってNICTのような機関向け以外にも配信されてるの? 「UTC(本物)の配信」というのはありえなくて、UTC(各国機関)を一定期間毎に 集計して事後でUTC(本物)が決定されている このへんにデータがある:http://www.bipm.org/jsp/en/TimeFtp.jsp >491 他の人も言っているけどもし 10ns レベルの話を気にしているのなら NW経由ではなんの意味もない違いだし、それどころかPC内部でも 意味を持たないズレというか「観念上の違い」以外の何者でもないよね? >>495 観念上の違いというと具体的にそれらを決定しているNICTやBIPMの人に さすがに失礼かもしれないが、NTPで使う限り問題となる違いはない というのはその通り。 >>490 は「NICTがNTPで配ってるのはJSTではない!」という的外れな 指摘に対してのコメントのつもり。時刻の決定方法や誤差を無視すれば、 UTCもJSTもUNIX TimeもNTP Timeも機械的に相互変換可能なのだから、 NTPがどれを配ってるなんて議論自体が無意味になってくる。 そういうことを気にするわりに時刻の修正は時間の連続性を失う方法を使ってるんだろ? ntpdateとか桜時計(爆)とかw 普通のパソコンの時刻のズレは、まともなOSならば、 時刻のズレを一気に縮めて修正するのではなくて、 NTPを基準にし、じわりじわりと加速するか減速させて、 時間の連続性を維持しようとプログラミングされている。 鯖ならDB上での時間の扱いの不都合を埋め合わせするため。 けどWindowsってUNIX系のadjtime見たいなAPIが無かったんじゃね? そもそもUNIX系と違ってWindowsはソフトウエアクロックを持ってないから HW側がadjtime相当の機能を搭載しない限りクロックの加減速なんて 不可能な気がする。 ドザではないけど、この時を刻む正確さの課題は、商取引上、重要なので もしも今の最新OSの機能としてなければ、次期OSから搭載するんでないの? >>497 まさにそれを使ってるんだけど、実際どうしたらいいのかな。 NTPだと、1分に1秒狂うような時計は修正できないし それに対応したNTPソフトがあるならぜひ乗り換えたい。 MS純正標準装備のW32Timeサービスをw32tmコマンドを使って設定することで クロックのオフセットみたいな機能が働くという噂。 XPまでならW32timeのレジストリにあるLastClockRateでも一応確認できる Vista以降ならw32tmコマンドでもクロックレートを表示できる >>496 NTPタイムスタンプは正のうるう秒とその直後の秒を区別できない。 だから「UTCもJSTもUNIX TimeもNTP Timeも機械的に相互変換可能」 というのは間違い。 時間に依存しない関数ではNTP TimeとUTCの1対1対応は無理というだけで、 NTP Timeの進みとLIを認識できる関数ならNTP TimeからUTCへの機械的変換は可能。 時刻扱うシステムが、時間依存しない関数しか使えないという仮定はさすがに 無理があるだろう。 >>507 うるう秒だと仮定すると0.5秒進んでいて うるう秒じゃないと仮定すると0.5秒遅れている なんて場合はどうする? 0.5秒の遅延が命取りなサービスの時計は自分で作る NTPにはうるう秒による暦上の秒の追加/削除が実施された前後に、その事実を 示すためのフラグフィールドがあるんだそうな。 このフィールドを見てうるう秒補正が実施された直後だったら1秒前後のズレを 正当な時差とみなす実装が可能だそうだ。 でも leap indicator が LEAP_NOWARNING だったとしても receive timestamp がうるう秒じゃないとは限らないし、 逆に LEAP_ADDSECOND だったとしても transmit timestamp が うるう秒だとは限らないよね? read.cgi ver 07.5.1 2024/04/28 Walang Kapalit ★ | Donguri System Team 5ちゃんねる