NTP : synchroniser l'heure des serveurs et du domaine

NTP (Network Time Protocol) synchronise l'horloge des machines d'un réseau sur une source de référence, à quelques millisecondes près, en UDP sur le port 123. Les serveurs de temps sont organisés en strates : plus on s'éloigne de l'horloge de référence, plus le numéro de strate augmente. Ce chapitre explique pourquoi l'heure est un service critique, comment NTP la corrige, et comment construire la hiérarchie de temps d'un réseau Active Directory avec Windows Server, chrony sous Debian, les switchs Cisco et pfSense.

Pourquoi l'heure est un service critique

Une horloge qui dérive de quelques minutes ne se voit pas sur l'écran d'un poste. Elle casse pourtant beaucoup de choses.

Strates, décalage, délai

Une horloge de référence (récepteur GPS, horloge atomique) est de strate 0 ; elle n'est pas sur le réseau. Un serveur directement relié à elle est de strate 1. Un serveur qui se synchronise sur un serveur de strate 1 est de strate 2, et ainsi de suite jusqu'à 15. La valeur 16 signifie « non synchronisé ».

NTP mesure le délai d'aller-retour et en déduit l'heure exacte, en supposant que l'aller et le retour durent autant. Pour corriger, il préfère ralentir ou accélérer progressivement l'horloge (slew) plutôt que de la faire sauter (step) : un saut en arrière ferait croire aux programmes qu'un événement s'est produit avant le précédent. Il ne fait un saut qu'au démarrage, quand l'écart est grand.

La hiérarchie de temps d'un domaine Active Directory

Dans un domaine, Windows organise le temps tout seul, à condition de configurer un seul serveur à la main.

1. Le contrôleur qui détient le rôle émulateur PDC (PDC emulator) du domaine racine de la forêt est la source de temps de toute la forêt. C'est lui, et lui seul, qu'on configure pour se synchroniser sur une source externe fiable.
2. Les autres contrôleurs se synchronisent sur l'émulateur PDC.
3. Les serveurs membres et les postes se synchronisent sur un contrôleur de leur domaine, automatiquement (mode NT5DS, la « hiérarchie du domaine »).

Chez Sorbier, l'émulateur PDC est srv-ad. Il se synchronise sur le pool NTP public par le pare-feu ; tout le reste suit.

# Sur srv-ad : trouver l'émulateur PDC du domaine
Get-ADDomain | Select-Object PDCEmulator

# Sur l'émulateur PDC : sources externes, déclarées fiables
w32tm /config /manualpeerlist:"0.fr.pool.ntp.org,0x8 1.fr.pool.ntp.org,0x8 2.fr.pool.ntp.org,0x8" `
      /syncfromflags:manual /reliable:yes /update
Restart-Service w32time
w32tm /resync /rediscover

# Vérifier
w32tm /query /status      # strate, source, dernière synchronisation
w32tm /query /source      # la source utilisée
w32tm /query /peers       # l'état de chaque source

Le drapeau 0x8 demande au service d'interroger le serveur en mode client NTP standard. /reliable:yes annonce srv-ad comme source de temps fiable aux autres machines du domaine.

Sur les autres contrôleurs et les membres, il n'y a rien à faire. Si une machine a été configurée à la main par erreur, ramène-la à la hiérarchie :

w32tm /config /syncfromflags:domhier /update
Restart-Service w32time
w32tm /query /source      # doit afficher un contrôleur du domaine, par exemple srv-ad.ad.sorbier.example

Pour comparer les horloges de plusieurs machines, w32tm /stripchart /computer:srv-ad2 /samples:5 /dataonly affiche le décalage mesuré entre la machine locale et srv-ad2, cinq fois de suite. w32tm /monitor fait le tour des contrôleurs du domaine.

chrony sous Debian 13

Sous Debian 13, le client NTP recommandé est chrony (version 4.6). À l'installation, il remplace le service minimal systemd-timesyncd s'il était présent. Sur un parc de serveurs, on déploie cette configuration avec Ansible plutôt qu'à la main (templates Jinja2 et fichiers de configuration).

sudo apt install chrony

Sa configuration par défaut, /etc/chrony/chrony.conf, interroge le pool de Debian (pool 2.debian.pool.ntp.org iburst) et lit aussi les fichiers du dossier /etc/chrony/sources.d/. Pour les serveurs de Sorbier, mets la ligne pool en commentaire et crée un fichier de sources :

# /etc/chrony/sources.d/sorbier.sources
server srv-ad.ad.sorbier.example iburst
server srv-ad2.ad.sorbier.example iburst

sudo systemctl restart chrony
chronyc sources -v        # les sources, leur strate et leur état
chronyc tracking          # strate locale, décalage, dernière correction

$ chronyc sources
MS Name/IP address         Stratum Poll Reach LastRx Last sample
===============================================================================
^* srv-ad.ad.sorbier.example     4   6   377    34   +215us[ +240us] +/-   21ms
^+ srv-ad2.ad.sorbier.example    5   6   377    35   -102us[  -77us] +/-   23ms

^ indique un serveur, * la source retenue, + une source acceptable en réserve ; ? ou x signalent une source injoignable ou jugée fausse. Reach 377 (en octal) veut dire que les huit dernières interrogations ont toutes reçu une réponse.

Les switchs Cisco et pfSense

Sur les switchs de Sorbier (VLAN 99), l'heure vient des contrôleurs. La configuration détaillée, avec l'authentification NTP, est dans le cours Routage et commutation ; le principe tient en quelques lignes :

SW-COEUR(config)# clock timezone CET 1 0
SW-COEUR(config)# clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
SW-COEUR(config)# ntp server 192.168.10.177 prefer
SW-COEUR(config)# ntp server 192.168.10.181
SW-COEUR(config)# end
SW-COEUR# show ntp status
SW-COEUR# show ntp associations

show ntp status doit afficher Clock is synchronized. Les journaux des switchs (syslog, chapitre 13) n'ont de valeur qu'avec une horloge juste : ajoute service timestamps log datetime msec localtime pour qu'ils soient horodatés précisément.

pfSense a son propre client et serveur NTP. Dans System > General Setup, le champ Timeservers liste les sources (par défaut, le pool 2.pfsense.pool.ntp.org) et Timezone le fuseau (Europe/Paris). Dans Services > NTP, tu choisis les interfaces sur lesquelles il sert l'heure : chez Sorbier, la DMZ et les visiteurs, qui n'ont pas accès aux contrôleurs.

Les flux NTP à autoriser

Exercices

w32tm /config /manualpeerlist:"time.windows.com,0x8" /syncfromflags:manual /update

Indicateur de dérive : 0(aucun avertissement)
Strate : 1 (référence principale - synchronisée par radio)
Précision : -23 (119.209ns par battement de l'horloge)
Source : Local CMOS Clock
Intervalle d'interrogation : 6 (64s)