配置NTP访问控制
在对安全性要求较高的网络中，用户可通过NTP安全来防止恶意攻击造成时钟报文的数据更改。
配置NTP访问控制权限
背景信息
peer: 远端设备可以给本地设备发送时间请求和控制查询，本地时钟也可以同步到远端服务器。
server: 远端设备可以给本地设备发送时间请求和控制查询，但本地时钟不会同步到远端服务器。
synchronization: 只允许远端设备对本地设备提出时间请求。
query: 只允许远端设备对本地设备进行控制查询。
limited: 当NTP报文速率高于上限时，丢弃入方向的NTP报文。
不同的NTP工作模式下配置访问控制权限的设备也不同，具体见表4-3所示。
NTP工作模式 |
限制的NTP请求类型 |
进行配置的设备 |
|---|---|---|
单播NTP客户端/服务器模式 |
限制客户端同步到服务器端 |
客户端 |
单播NTP客户端/服务器模式 |
限制服务器端处理客户端发送的时钟同步请求 |
服务器端 |
NTP对等体模式 |
限制主动对等体与被动对等体进行时钟同步 |
主动对等体端 |
NTP对等体模式 |
限制被动对等体端处理主动对等体发送的时钟请求 |
被动对等体端 |
NTP组播模式 |
限制客户端同步到服务器端 |
NTP组播客户端 |
NTP广播模式 |
限制客户端同步到服务器端 |
NTP广播客户端 |
NTP多播客户端模式 |
限制客户端同步到服务器端 |
NTP多播客户端 |
NTP多播服务器模式 |
限制服务器端处理客户端发送的时钟同步请求 |
NTP多播服务器 |
操作步骤
- 执行命令system-view，进入系统视图。
- 配置基本ACL。
在配置访问控制权限之前需要先配置基本ACL，具体配置步骤请参考《Huawei AR系列物联网关 配置指南-安全配置》中的“ACL配置”。
- 执行命令ntp-service access { peer | query | server | synchronization | limited } { acl-number | ipv6 acl6-number } *，配置NTP服务的访问控制权限。
缺省情况下，没有配置访问控制权限。
配置NTP服务的访问控制权限前，请先检查ACL规则的配置情况。当ACL规则配置为permit时，则允许匹配该规则中指定源IP地址的对端设备在访问本地设备NTP服务时具有使用ntp-service access命令配置的访问控制权限；而ACL规则配置为deny时，则拒绝匹配该规则中指定源IP地址的对端设备访问本地设备NTP服务。
- 执行命令ntp-service
discard { min-interval min-interval-val | avg-interval avg-interval-val } * ，配置发送NTP报文的最小时间间隔和平均时间间隔。
缺省情况下，NTP发送报文的最小时间间隔为2的1次方秒（2秒），平均时间间隔为2的5次方秒（32秒）。
配置KOD
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令ntp-service
kod-enable，使能KOD功能。
缺省情况下，没有使能KOD功能。
- 配置基本ACL。
在配置访问控制权限之前需要先配置基本ACL，具体配置步骤请参考《Huawei AR系列物联网关 配置指南-安全配置》中的“ACL配置”。
- 执行命令ntp-service access
limited { acl-number | ipv6 acl6-number } *，使能对入方向NTP报文速率的控制。
缺省情况下，没有使能对入方向NTP报文速率的控制。
使能对入方向NTP报文速率的控制前，请先检查ACL规则的配置情况。当ACL规则为deny，此时服务器发送DENY Kiss码；当ACL规则为permit且接收到的NTP报文速率达到速率上限时，此时服务器发送RATE Kiss码。
- 执行命令ntp-service
discard { min-interval min-interval-val | avg-interval avg-interval-val } * ，配置发送NTP报文的最小时间间隔和平均时间间隔。
缺省情况下，NTP发送报文的最小时间间隔为2的1次方秒（2秒），平均时间间隔为2的5次方秒（32秒）。
配置NTP认证
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令ntp-service
authentication enable，使能NTP认证功能。
缺省情况下，没有配置身份认证功能。
- （可选）执行命令ntp-service authentication complexity-check disable，去使能NTP认证密码复杂度检查功能。
缺省情况下，NTP认证密码复杂度检查功能处于使能状态。
由于V200R006C10之前版本设备对NTP认证密码复杂度不做检查，当V200R006C10及之后版本设备和V200R006C10之前版本设备对接时，需要在V200R006C10及之后版本设备上执行ntp-service authentication complexity-check disable命令去使能NTP认证密码复杂度检查功能。否则当配置的NTP认证密码复杂度不符合要求时，将导致对接失败。
- 执行命令ntp-service authentication-keyid key-id authentication-mode { md5 | hmac-sha256 } [ cipher ] password，配置NTP认证密钥。
缺省情况下，没有配置验证密钥。
- 在使用中需要注意，MD5属于不安全的加密算法，建议使用HMAC-SHA256加密算法。
- 为提高安全性，建议密码至少包含小写字母、大写字母、数字、特殊字符这四种形式中的两种，同时密码长度不小于6个字符。当密码包含空格时，需要加双引号，并且只能有这一个双引号。
- 执行命令ntp-service
reliable authentication-keyid key-id，声明可信的密钥。
缺省情况下，没有声明可信的密钥。
