怎樣讓防火墻跟其他網(wǎng)絡(luò)設(shè)備實現(xiàn)時鐘同步

一方面，如果網(wǎng)絡(luò)設(shè)備上的時間不一致，如路由器跟防火墻的時間相差十分鐘，則在故障排除的時候，就會很麻煩。因為防火墻或者路由器上都有事件日志，在這些日志上會反映相關(guān)的故障信息。而由于兩者系統(tǒng)時間不一致，所以，在日志上顯示的時間也會有問題，對于我們解決問題不利。這就好像你手表與公司里考勤機的時間不一致的話，那么你就很難把握上班的時間。即使考勤機的時間是錯誤的，則我們也必須以考勤機的時間為準(zhǔn)，進(jìn)行相應(yīng)的調(diào)整。

另一方面，若在網(wǎng)絡(luò)設(shè)備上，有證書應(yīng)用的話，則更加要求時間上的一致性。如需要認(rèn)證證書或者撤銷證書的話，都必須要求比較精確的時間，要求網(wǎng)絡(luò)設(shè)備之間時間的一致。

所以，出于種種方面的原因，我們網(wǎng)絡(luò)管理員有義務(wù)保證防火墻跟其他網(wǎng)絡(luò)設(shè)備在時間上保持一致。

對于防火墻來說，其主要有兩種時間調(diào)整的方式。

第一種：防火墻系統(tǒng)時鐘

在防火墻出廠的時候，跟電腦主板一樣，也有一個系統(tǒng)時間。在防火墻剛開始部署的時候，防火墻服務(wù)器就是利用這個系統(tǒng)時間跟其他設(shè)備進(jìn)行相關(guān)問題的協(xié)商。不過，在防火墻后續(xù)管理中，我們可以根據(jù)自己的需要配置系統(tǒng)時鐘。

1、?修改系統(tǒng)時鐘的時間。在一些情況下，我們可能需要對系統(tǒng)時鐘的時間進(jìn)行修改。如出于某種原因，網(wǎng)絡(luò)管理員可能把所有的網(wǎng)絡(luò)設(shè)備的時間都延遲了一個小時。此時，我們就需要根據(jù)實際情況，為了保證防火墻的時間跟其他網(wǎng)絡(luò)設(shè)備的時鐘一致，就需要手工的把時間進(jìn)行修改，按照其他網(wǎng)絡(luò)設(shè)備的時間重新設(shè)定防火墻的系統(tǒng)時鐘。

2、?設(shè)置合理的時區(qū)。默認(rèn)情況下，防火墻使用的是一種所謂的世界協(xié)調(diào)時，我們有時會可能看不慣這種時間的表示方法。此時，我們就需要手工的對時區(qū)進(jìn)行設(shè)置，如設(shè)置為北京時間等等。不過這里要注意一點，這個時區(qū)的話，只是用來做顯示用，而不會改變系統(tǒng)時鐘。也就是說，系統(tǒng)時鐘仍然是三屆協(xié)調(diào)時;而顯示的時防火墻服務(wù)器經(jīng)過處理過的時間，按照我們設(shè)置的時區(qū)進(jìn)行轉(zhuǎn)換并顯示。

3、?我們還可以為服務(wù)器設(shè)置夏令時。不過這在大陸現(xiàn)在已經(jīng)取消了這個夏令時，故，在實際管理中，基本上沒有用到這個功能。

在使用防火墻系統(tǒng)時鐘的時候，需要注意幾個問題：

一是防火墻系統(tǒng)時鐘是比較獨立的一個時間系統(tǒng)，其不會自動跟其他網(wǎng)絡(luò)設(shè)備的時間保持一致。所以，這個系統(tǒng)時鐘的話，需要用戶根據(jù)其他網(wǎng)絡(luò)設(shè)備的時間核對，然后進(jìn)行調(diào)整。務(wù)必保證與其他網(wǎng)絡(luò)設(shè)備的時鐘一致。否則的話，會給我們后續(xù)的網(wǎng)絡(luò)維護(hù)造成很大的麻煩。

二在時區(qū)管理上，最好能夠利用世界協(xié)調(diào)時，因為這是未來發(fā)展的趨勢，后續(xù)各個網(wǎng)絡(luò)設(shè)備，基本上都會采用這個世界協(xié)調(diào)時。所以，我們網(wǎng)絡(luò)管理員應(yīng)該需要習(xí)慣這個表示方法。如此的話，不用每次都去修改時區(qū)。

三是有可能其他網(wǎng)絡(luò)設(shè)備的時間不準(zhǔn)確，如比標(biāo)準(zhǔn)時間都慢了十分鐘。此時，防火墻也只能“同流合污”，跟他們保持一致。因為去更改其他眾多的網(wǎng)絡(luò)設(shè)備的時間，顯然會給網(wǎng)絡(luò)造成很大的影響。所以，此時，只能夠更改防火墻服務(wù)器的時間，以保證跟他們在時間上保持一致。

第二種：網(wǎng)絡(luò)時間協(xié)議

除了手工的設(shè)置防火墻服務(wù)器的系統(tǒng)時鐘外，我們可以在網(wǎng)路中設(shè)置一個時間服務(wù)器，讓其他網(wǎng)絡(luò)設(shè)備都跟這個時間服務(wù)器保持一致。如此的話，就可以最大程度的保證各個網(wǎng)絡(luò)設(shè)備的時鐘一致性。這就好像中國大陸都已北京時間為準(zhǔn)，全國就只有一個時間，這就可以免除大家交流之間的一些不必要的麻煩。

在防火墻中，有一個網(wǎng)絡(luò)時間協(xié)議，他的作用就是專門從網(wǎng)絡(luò)中向時間服務(wù)器去獲取時間信息，為網(wǎng)絡(luò)系統(tǒng)提供一個精確的時鐘同步源。

如我們可以利用ntp?server?ip-address?key?number?source?if-name?prefer命令來配置網(wǎng)絡(luò)時間協(xié)議，讓其從我們指定的時間服務(wù)器中獲取時間信息。

其中

Ntp：就表示時間協(xié)議。

ip-address：表示防火墻需要同步的時間服務(wù)器的IP地址

key?number：表示在跟時間服務(wù)器通信時，需要使用特定的密鑰進(jìn)行通信。Number用于指定密鑰。當(dāng)網(wǎng)絡(luò)管理員出于標(biāo)示的需要，使用多個密鑰或者多個服務(wù)器的時候，這個參數(shù)就顯得尤其的重要。

If_name?：這個參數(shù)，主要是用來指定用防火墻的那個接口，來跟時間服務(wù)器進(jìn)行通信，即用于向NTP服務(wù)器?發(fā)送分組的接口名。

Prefer：這個參數(shù)平時不怎么用，主要是用來指定這個IP地址的時間服務(wù)器是首選的服務(wù)器。一般在大型網(wǎng)絡(luò)中，可能有多個時間服務(wù)器，所以，為了減少各個時間服務(wù)器之間的來回切換所發(fā)生的不必要的花費，就可以利用這個參數(shù)進(jìn)行指定。

利用網(wǎng)絡(luò)時間協(xié)議來保持網(wǎng)絡(luò)時間的一致性時，需要注意如下問題：

一是網(wǎng)絡(luò)時間協(xié)議通常是使用123端口進(jìn)行通信。這在防火墻配置的時候需要注意，不要把這個端口屏蔽掉了。當(dāng)沒有時間網(wǎng)絡(luò)時間協(xié)議的話，就可以把這個端口屏蔽。

二是采用網(wǎng)絡(luò)時間協(xié)議保持時鐘同步的話，這個時間源要選擇準(zhǔn)確。如我們可以直接利用互聯(lián)網(wǎng)上的時間服務(wù)器。不過，再利用互聯(lián)網(wǎng)上的時間服務(wù)器，跟防火墻的時間進(jìn)行同步時，需要注意兩個問題。一是這個防火墻沒有存在企業(yè)網(wǎng)絡(luò)的域中，也就是說，沒有利用域來管理企業(yè)網(wǎng)絡(luò)，否則的話，防火墻服務(wù)器可以采用域控制器的時鐘來同步。二是需要注意，互聯(lián)網(wǎng)上的時間只同步時鐘，而不會同步日期。也就是說，必須先在防火墻上設(shè)置正確的日期，只有如此，才能夠從互聯(lián)網(wǎng)上的時間服務(wù)器那邊更新時間信息。否則的話，在日期不準(zhǔn)確的情況下，時間信息無法被更新或者被準(zhǔn)確更新。不過，跟互聯(lián)網(wǎng)上的時間服務(wù)器同步的話，只有在網(wǎng)絡(luò)通暢的情況下，才能夠完成。萬一，連接企業(yè)的外網(wǎng)發(fā)生中斷，如遇到地震或者海嘯，導(dǎo)致光釬斷掉的話，就無法保持時間的更新了。所以，在企業(yè)中，若有證書方面的要求，如對于部屬有網(wǎng)上銀行等對于證書要求比較多的企業(yè)，最好還是自己設(shè)立一個時間服務(wù)器。因為他們對于時間的一致性的需求，不是其他企業(yè)可以比的。出于安全上的考慮，設(shè)置一個專門的時間服務(wù)器還是有必要的。而且，這個投資也不會很大。

另外，為了安全可靠，特別是一些重要行業(yè)部門，如金融、通信、電力、交通、廣電、安防、水利、石化、冶金、國防、醫(yī)療、教育、政府機關(guān)、IT等領(lǐng)域的網(wǎng)絡(luò)時鐘同步，建議使用專用的網(wǎng)絡(luò)時間服務(wù)器設(shè)備。

?

?

轉(zhuǎn)載于:https://www.cnblogs.com/shijiantongbu/archive/2013/05/14/3078768.html

總結(jié)

以上是生活随笔為你收集整理的怎样让防火墙跟其他网络设备实现时钟同步的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。