AWS NTP服务器的安全组

Question

我只是尝试在EC2实例上与NTP-Server同步时间：

  

服务器0.amazon.pool.ntp.org iburst
  服务器1.amazon.pool.ntp.org iburst
  服务器2.amazon.pool.ntp.org iburst
  服务器3.amazon.pool.ntp.org iburst

不幸的是，我无法与NTP服务器同步。我的问题是：

1. 我们是否应该打开安全组中的端口以允许NTP-Server连接到EC2实例？
2. 如果是，那么我们怎么知道哪个IP amazon.pool.ntp.org （它随着时间的推移而变化）我们无法打开< strong>所有交易

提前致谢，
Toan Dao

Answer 1

您需要允许安全组端口123上的出站流量达到0.0.0.0/0才能使NTP正常工作。

如果您的EC2实例位于公有子网中，则只需在安全组中允许此操作。

但是如果您的EC2实例位于私有子网中，则您需要允许端口123上的入站和出站流量为您的NAT传递请求和响应。您的EC2实例（不是世界）需要入站。

Answer 2

根据AWS的文件

  

默认情况下，在Amazon Linux实例上配置网络时间协议（NTP）;但是，实例需要访问Internet才能使标准NTP配置生效。您的实例的安全组还必须允许端口123（NTP）上的出站UDP流量
  来源：http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/set-time.html

因此我们需要在安全组的端口123上允许出站流量到0.0.0.0/0，以便NTP正常工作

Answer 3

无需为NTP打开入站流量，只需要出站访问。只要您的实例可以访问互联网，就可以解析ntp池地址。

请打开您的出站地址/端口，确保您的实例可以直接或通过NAT或其他方式访问互联网。

Answer 4

对于最近访问的任何人，AWS现在都拥有自己的时间服务器：https://aws.amazon.com/blogs/aws/keeping-time-with-amazon-time-sync-service/（还要重申：您确实需要在AWS VM上进行时间同步，否则，他们将在几个月）。

要使用它们，您需要配置NTP服务器（ntpd或chronyd）以使用服务器169.254.169.123，当然还要打开端口123 / udp上出站的安全组。该魔术IP位于AWS内，因此不会脱离VPC或进入Internet。

请注意，通常包括多个服务器，并让您的客户端从所有服务器中计算时间。在AWS情况下，即使它只是一个IP，但您正在与多台服务器通信，因此不需要专门使用多个IP。如果您被允许使用Internet NTP服务器以及AWS NTP服务器，那么配置多个服务器（使用AWS NTP服务器上的prefer选项）没有任何危害。