防火墙与NTP时间对不上

升级版本看看

您好，开启下debug ntp看下报文交换吧，看下是不是有acl限制。

1.8.1 配置客户端/服务器模式的NTP验证功能
1. 配置限制和指导
客户端和服务器上需要配置相同的密钥ID及密钥值，并且保证对端有权在本端使用该密钥ID进行验证，否则会导致NTP验证失败。

客户端和服务器上进行不同的配置时，NTP验证结果有所不同，详细介绍请参见表1-2。其中，表格中的“-”表示不管此项是否配置。

2. 配置客户端的NTP验证
(1) 进入系统视图。

system-view

(2) 开启NTP身份验证功能。

ntp-service authentication enable

缺省情况下，NTP身份验证功能处于关闭状态。

(3) 配置NTP身份验证密钥。

ntp-service authentication-keyid keyid authentication-mode md5 { cipher | simple } string [ acl ipv4-acl-number | ipv6 acl ipv6-acl-number ] *

缺省情况下，未配置NTP身份验证密钥。

(4) 配置指定密钥为可信密钥。

ntp-service reliable authentication-keyid keyid

缺省情况下，未指定可信密钥。

(5) 将指定密钥与对应的NTP服务器关联。

（IPv4网络）

ntp-service unicast-server { server-name | ip-address } [ vpn-instance vpn-instance-name ] authentication-keyid keyid

（IPv6网络）

ntp-service ipv6 unicast-server { server-name | ipv6-address } [ vpn-instance vpn-instance-name ] authentication-keyid keyid

3. 配置服务器端的NTP验证
(1) 进入系统视图。

system-view

(2) 开启NTP身份验证功能。

ntp-service authentication enable

缺省情况下，NTP身份验证功能处于关闭状态。

(3) 配置NTP身份验证密钥。

ntp-service authentication-keyid keyid authentication-mode md5{ cipher | simple } string [ acl ipv4-acl-number | ipv6 acl ipv6-acl-number ] *

缺省情况下，未配置NTP身份验证密钥。

(4) 配置指定密钥为可信密钥。

ntp-service reliable authentication-keyid keyid

缺省情况下，未指定可信密钥。

检查下1.1.1.1是不是存在的NTP服务器的IP地址。

dis ntp status检查状态是否同步了。

看下防火墙的安全策略是否有做了限制。

同时可考虑升级防火墙的软件版本到最新。

9+8 =17 有可能是时区搞得鬼，可以从这里排查下

还有一个就是检查下配置中是否有 clock protocol none 的配置，有这个的话会导致NTP修改不了时间