倚 倚栏听雨 · 学习记录
← 回到技术随笔
· 7061 字

H3C交换机和华为交换机配置NTP服务

记录 H3C Comware 与华为 VRP 交换机配置 NTP 时间同步的方法，包括时间源选择、基础配置、验证命令和常见问题处理。

适用范围：本文面向本人负责或已获授权管理的 H3C Comware、华为 VRP 交换机，用于配置设备时间同步。不同型号、软件版本和安全基线会影响命令语法，执行前应在设备命令行使用 ?、display version 和对应版本官方文档核实。

阅读说明：代码块中以 # 开头的是说明文字，不要直接输入设备。文中的 IP 地址、VLAN、接口和 NTP 服务器均为示例，必须替换为现场规划值。

一、为什么交换机要配置 NTP

NTP 的作用是让网络设备自动和时间服务器对时。交换机时间准确以后，日志、告警、审计记录、故障排查都会更可靠。

如果交换机时间不准，常见影响包括：

  1. 日志时间和真实故障时间对不上，排查链路中断、环路、端口抖动时很难定位。
  2. 与网管平台、日志平台、认证系统联动时，事件顺序容易混乱。
  3. 证书、SSH、部分安全审计功能可能受到时间错误影响。
  4. 多台设备之间比对配置变更、端口状态变化时，缺少统一时间基准。

所以，NTP 通常不是“可有可无”的配置，而是网络设备基础运维配置的一部分。

二、先确定时间源

生产网络里，优先建议使用单位内部的 NTP 服务器，例如核心网管服务器、防火墙、域控服务器或专门的时间服务器。这样做更稳定，也更容易控制访问策略。

常见规划方式如下：

场景 推荐做法 说明
企业内网 使用内网 NTP 服务器 最推荐，稳定且可控
小型网络 使用网关、防火墙或上级路由器提供 NTP 适合设备较少的场景
实验环境 使用公网 NTP 服务器 需要设备能访问互联网和 UDP 123 端口
没有 DNS 的网络 直接配置 NTP 服务器 IP 比域名更可靠

参考资料中列出了多个国内常用 NTP 时间源。实际使用时不要盲目堆多个公网地址，建议选择网络可达、延迟稳定的时间源。如果交换机不能解析域名，就不要配置域名，直接配置对应的 IP 地址或使用内网 NTP。

本文示例使用以下规划：

项目 示例值 说明
管理 VLAN 100 交换机管理地址所在 VLAN
管理接口 H3C：Vlan-interface 100，华为：Vlanif 100 用作 NTP 源接口
交换机管理地址 192.0.2.2/24 示例地址
内网 NTP 服务器 192.0.2.10 推荐方式
备用 NTP 服务器 192.0.2.11 可选
时区 UTC+8 中国大陆通常使用北京时间

三、配置前检查

配置 NTP 之前，先确认三件事：

  1. 交换机管理地址已经配置完成。
  2. 交换机可以到达 NTP 服务器。
  3. 中间防火墙或 ACL 放通 UDP 123 端口。

可以先从交换机上测试连通性：

# H3C 或华为都可以先尝试 ping NTP 服务器。
ping 192.0.2.10

如果 ping 不通，先排查管理 VLAN、网关、路由和安全策略。NTP 本身依赖网络可达，链路不通时继续敲 NTP 命令没有意义。

四、H3C 交换机配置 NTP

H3C Comware 设备一般在系统视图下配置 NTP。下面以管理 VLAN 100、内网 NTP 服务器 192.0.2.10 为例。

# 进入系统视图。
<H3C> system-view

# 设置本地时区为北京时间，也就是 UTC+8。
[H3C] clock timezone Beijing add 08:00:00

# 如果当前版本需要显式启用 NTP 服务，先启用 NTP。
# 部分版本没有这条命令，或默认已经支持 NTP 客户端功能，按设备提示为准。
[H3C] ntp-service enable

# 配置首选 NTP 服务器。
[H3C] ntp-service unicast-server 192.0.2.10

# 配置备用 NTP 服务器。
[H3C] ntp-service unicast-server 192.0.2.11

如果现场有多个三层接口，建议指定 NTP 源接口，让 NTP 报文从管理地址发出，方便服务器侧放行和审计。

# 指定 NTP 使用管理 VLAN 接口作为源接口。
# 不同 Comware 版本命令可能略有差异，输入前请用 ? 核实。
[H3C] ntp-service source-interface Vlan-interface 100

有些版本也支持在配置服务器时直接指定源接口，命令形式可能类似下面这样：

# 如果当前版本支持，可在服务器命令后指定源接口。
[H3C] ntp-service unicast-server 192.0.2.10 source Vlan-interface 100

两种写法不要机械照搬，以设备实际帮助信息为准。目标只有一个：让交换机使用管理接口访问 NTP 服务器。

H3C 验证命令

# 查看 NTP 同步状态。
[H3C] display ntp-service status

# 查看 NTP 会话信息。
[H3C] display ntp-service sessions

# 查看当前系统时间。
[H3C] display clock

如果状态中能看到已经同步到指定服务器，且系统时间正确，说明配置基本生效。刚配置完成时不一定立刻同步，通常需要等待一小段时间。

五、华为交换机配置 NTP

华为 VRP 设备同样在系统视图下配置。下面以管理 VLAN 100、内网 NTP 服务器 192.0.2.10 为例。

# 进入系统视图。
<华为> system-view

# 设置本地时区为北京时间。
[华为] clock timezone Beijing add 08:00:00

# 配置首选 NTP 服务器。
[华为] ntp-service unicast-server 192.0.2.10

# 配置备用 NTP 服务器。
[华为] ntp-service unicast-server 192.0.2.11

如果交换机有多个三层接口，也建议指定源接口：

# 指定 NTP 使用管理 VLANIF 作为源接口。
# 部分 VRP 版本命令参数可能不同，执行前请用 ? 核实。
[华为] ntp-service source-interface Vlanif 100

部分版本也支持在服务器配置中指定源接口或 VPN 实例。如果设备处在管理 VPN、专用管理实例或带外管理网络中，必须结合现场路由设计确认命令。

华为验证命令

# 查看 NTP 同步状态。
[华为] display ntp-service status

# 查看 NTP 会话信息。
[华为] display ntp-service sessions

# 查看当前系统时间。
[华为] display clock

正常情况下，设备会显示当前同步层级、参考时钟、同步状态等信息。如果仍处于未同步状态，继续检查服务器可达性、UDP 123 端口和源接口。

六、可选：配置 NTP 认证

普通内网环境中，很多人只配置 NTP 服务器地址。但在安全要求较高的网络里，可以考虑启用 NTP 认证，避免设备同步到不可信的时间源。

NTP 认证的思路是：

  1. 在 NTP 服务器和交换机上配置相同的认证 key。
  2. 指定可信 key。
  3. 交换机访问 NTP 服务器时携带对应 key。

不同厂商、不同版本对认证算法和命令支持差异比较大，生产环境要以官方文档和现场安全基线为准。不要把示例 key 直接用于正式网络。

七、常见问题处理

1. NTP 服务器 ping 得通，但时间不同步

ping 只说明 IP 可达，不代表 UDP 123 端口可用。需要检查防火墙、安全策略、交换机 ACL、服务器本机防火墙是否放通 NTP。

还要确认 NTP 服务器自身时间是否正常。如果服务器本身没有上级时间源，交换机可能无法把它作为可靠时间源。

2. 配置了域名形式的 NTP，但没有效果

很多交换机现场没有配置 DNS，或者管理网不允许访问公网 DNS。此时域名无法解析，NTP 自然不能同步。

处理方法是：

  1. 优先改用内网 NTP 服务器 IP。
  2. 如果确实要用域名，先配置 DNS 并确认设备能解析。
  3. 用 ping 域名 或设备支持的解析测试命令确认结果。

3. 多台交换机时间差几分钟

先确认它们是否使用同一个 NTP 源。如果有的设备同步内网服务器，有的设备同步公网服务器，就可能出现时间基准不一致。

生产网络建议统一采用一组内网 NTP 服务器，再让所有交换机、路由器、防火墙、服务器和日志平台都同步到同一时间源。

4. 日志时间还是不对

这种情况通常不是 NTP 没同步，而是时区没有设置正确。中国大陆通常使用 UTC+8，应检查 clock timezone 配置和 display clock 输出。

5. 重启后配置丢失

配置完成并验证正常后，必须保存配置。

# H3C 保存配置。
<H3C> save

# 华为保存配置。
<华为> save

保存时根据提示确认即可。生产设备变更前后建议备份配置，便于回退和审计。

八、建议的实施顺序

实际操作时，可以按下面顺序执行：

  1. 确认管理地址、路由和 NTP 服务器规划。
  2. 从交换机测试到 NTP 服务器的连通性。
  3. 设置时区。
  4. 配置主、备 NTP 服务器。
  5. 如有需要，指定源接口。
  6. 等待同步并查看状态。
  7. 检查系统时间和日志时间。
  8. 保存配置。
  9. 记录变更内容和设备当前 NTP 状态。

九、完整示例

H3C 示例

<H3C> system-view
[H3C] clock timezone Beijing add 08:00:00
[H3C] ntp-service enable
[H3C] ntp-service source-interface Vlan-interface 100
[H3C] ntp-service unicast-server 192.0.2.10
[H3C] ntp-service unicast-server 192.0.2.11
[H3C] display ntp-service status
[H3C] display ntp-service sessions
[H3C] display clock
[H3C] quit
<H3C> save

如果设备提示 ntp-service enable 或 ntp-service source-interface 不支持，不要强行照抄，使用 ntp-service ? 查看当前版本支持的写法。

华为示例

<华为> system-view
[华为] clock timezone Beijing add 08:00:00
[华为] ntp-service source-interface Vlanif 100
[华为] ntp-service unicast-server 192.0.2.10
[华为] ntp-service unicast-server 192.0.2.11
[华为] display ntp-service status
[华为] display ntp-service sessions
[华为] display clock
[华为] quit
<华为> save

华为不同 VRP 版本对源接口、VPN 实例、认证参数的写法可能不同。正式配置前，最好先在实验设备或维护窗口内验证。

十、外网 NTP 配置示例

如果是实验环境、小型办公室网络，或者现场没有内网 NTP 服务器，也可以让交换机访问公网 NTP。外网 NTP 的前提是交换机管理网络能够访问互联网，并且 DNS、路由、NAT 和安全策略都已经配置正确。

使用公网 NTP 前，建议先确认下面几点：

  1. 交换机可以访问外网，或者至少可以访问指定 NTP 服务器。
  2. 管理网络允许 UDP 123 端口出站。
  3. 如果使用域名形式的 NTP 服务器，交换机必须能正常解析 DNS。
  4. 生产网络不要随意使用多个来源不明的公网时间源，优先选择稳定、可信、延迟低的服务器。

H3C 使用公网 NTP 域名

# 进入系统视图。
<H3C> system-view

# 设置北京时间时区。
[H3C] clock timezone Beijing add 08:00:00

# 配置 DNS 服务器。这里使用示例 DNS，现场应替换为本单位 DNS 或可信 DNS。
[H3C] dns server 223.5.5.5

# 指定 NTP 使用管理 VLAN 接口作为源接口。
[H3C] ntp-service source-interface Vlan-interface 100

# 配置公网 NTP 服务器。域名能否使用取决于设备 DNS 和版本支持情况。
[H3C] ntp-service unicast-server ntp.aliyun.com
[H3C] ntp-service unicast-server ntp.tencent.com

# 查看同步状态。
[H3C] display ntp-service status
[H3C] display ntp-service sessions

如果设备不支持在 NTP 命令中使用域名，或者 DNS 解析不稳定，可以先在其他主机上解析域名，再把可用 IP 配到交换机上。但公网 NTP 的 IP 可能会变化，长期使用时更建议建设内网 NTP。

华为使用公网 NTP 域名

# 进入系统视图。
<华为> system-view

# 设置北京时间时区。
[华为] clock timezone Beijing add 08:00:00

# 配置 DNS 服务器。现场应替换为本单位 DNS 或可信 DNS。
[华为] dns resolve
[华为] dns server 223.5.5.5

# 指定 NTP 使用管理 VLANIF 作为源接口。
[华为] ntp-service source-interface Vlanif 100

# 配置公网 NTP 服务器。
[华为] ntp-service unicast-server ntp.aliyun.com
[华为] ntp-service unicast-server ntp.tencent.com

# 查看同步状态。
[华为] display ntp-service status
[华为] display ntp-service sessions

不同 VRP 版本对 DNS、NTP 域名解析和源接口命令支持不完全一致。如果命令提示不支持，应使用 ? 查看当前设备支持的参数，必要时改用 NTP 服务器 IP。

使用公网 NTP IP 的写法

如果现场不想在交换机上配置 DNS，可以直接写 NTP 服务器 IP。下面的 203.0.113.10 和 203.0.113.11 是文档示例地址，不是真实公网 NTP，请替换为实际测试可用的服务器 IP。

# H3C 示例。
<H3C> system-view
[H3C] clock timezone Beijing add 08:00:00
[H3C] ntp-service source-interface Vlan-interface 100
[H3C] ntp-service unicast-server 203.0.113.10
[H3C] ntp-service unicast-server 203.0.113.11
[H3C] display ntp-service status

# 华为示例。
<华为> system-view
[华为] clock timezone Beijing add 08:00:00
[华为] ntp-service source-interface Vlanif 100
[华为] ntp-service unicast-server 203.0.113.10
[华为] ntp-service unicast-server 203.0.113.11
[华为] display ntp-service status

公网 NTP 适合测试和小规模场景。设备数量较多时，不建议每台交换机都直接访问公网 NTP。更合理的方式是让一台或一组内网服务器同步公网时间，再让内部网络设备统一同步这组内网服务器。

十一、常用授时服务器附录

下面这些地址可作为 NTP 时间源候选。使用前应先测试网络可达性、解析结果、延迟和同步状态，不要未经验证直接用于生产网络。

类型 地址 说明
腾讯云 ntp.tencent.com 腾讯提供的公网 NTP 域名，适合国内网络测试
腾讯云 time1.cloud.tencent.com 腾讯云常见时间源之一
腾讯云 time2.cloud.tencent.com 腾讯云常见时间源之一
腾讯云 time3.cloud.tencent.com 腾讯云常见时间源之一
腾讯云 time4.cloud.tencent.com 腾讯云常见时间源之一
腾讯云 time5.cloud.tencent.com 腾讯云常见时间源之一
阿里云 ntp.aliyun.com 阿里云公网 NTP 域名
阿里云 ntp1.aliyun.com 阿里云常见时间源之一
阿里云 ntp2.aliyun.com 阿里云常见时间源之一
阿里云 ntp3.aliyun.com 阿里云常见时间源之一
阿里云 ntp4.aliyun.com 阿里云常见时间源之一
阿里云 ntp5.aliyun.com 阿里云常见时间源之一
阿里云 ntp6.aliyun.com 阿里云常见时间源之一
阿里云 ntp7.aliyun.com 阿里云常见时间源之一
NTP Pool cn.pool.ntp.org NTP Pool 中国区域池，DNS 会返回不同服务器
NTP Pool pool.ntp.org NTP Pool 全球池，适合通用测试
国家授时中心 ntp.ntsc.ac.cn 中国科学院国家授时中心常见授时域名
教育网 s1a.time.edu.cn 教育网常见时间源之一
教育网 s1b.time.edu.cn 教育网常见时间源之一
教育网 s1c.time.edu.cn 教育网常见时间源之一
Google time.google.com Google 公共 NTP，部分网络环境可能不可达
Microsoft time.windows.com Windows 常见默认时间源
Apple time.apple.com Apple 设备常见时间源

选择授时服务器时，可以按下面原则筛选：

  1. 优先选择本单位内网 NTP。
  2. 没有内网 NTP 时，优先选择国内可达、延迟稳定的公网 NTP。
  3. 不要只配置一个公网 NTP，建议配置主、备两个时间源。
  4. 不要一次配置过多公网 NTP，来源过多反而不利于排障。
  5. 如果使用 NTP Pool，注意它是服务器池，解析到的 IP 可能变化。

十二、参考资料

  • 腾讯云开发者社区：《NTP 时间服务器相关资料》，用于了解常见 NTP 时间源和时间同步背景。
  • NTP Pool Project：用于了解公共 NTP 服务器池的基本工作方式。
  • H3C Comware 对应版本命令参考：用于核实 ntp-service 相关命令。
  • 华为 VRP 对应版本产品文档：用于核实 ntp-service 相关命令。