问
华三5130和3600ntp对时问题
16小时前提问
- 0关注
- 0收藏，44浏览
zhiliao_Gixe
二段
检查NTP状态：在5130和3600上执行 `display ntp status`，查看时钟同步状态。关键看“clock status”是否为“synchronized”，以及“clock stratum”值是否合理（通常比服务器层数大1）。
检查NTP关联：执行 `display ntp sessions`，查看与服务器的会话状态。确认状态是否为“^”或“*”，这表示已同步或候选服务器。如果状态是“-”或为空，则未同步。
检查配置：确认NTP配置正确。典型配置包括：
ntp-service enable
ntp-service unicast-server x.x.x.x
确保未配置 `ntp-service refclock-master` 等冲突命令。
检查网络可达性：从设备ping NTP服务器地址，确认ICMP可达。同时，确保设备与服务器之间的UDP 123端口互通，中间防火墙或ACL未拦截。
检查设备时间：执行 `display clock`，确认设备本地时间。如果与服务器时间差过大（通常默认超过1000秒），NTP可能拒绝同步。可尝试手动调整时间接近后再观察。
如果以上步骤无法解决，请提供 `display ntp status` 和 `display ntp sessions` 的具体输出、设备型号全称及软件版本。
检查NTP关联：执行 `display ntp sessions`，查看与服务器的会话状态。确认状态是否为“^”或“*”，这表示已同步或候选服务器。如果状态是“-”或为空，则未同步。
检查配置：确认NTP配置正确。典型配置包括：
ntp-service enable
ntp-service unicast-server x.x.x.x
确保未配置 `ntp-service refclock-master` 等冲突命令。
检查网络可达性：从设备ping NTP服务器地址，确认ICMP可达。同时，确保设备与服务器之间的UDP 123端口互通，中间防火墙或ACL未拦截。
检查设备时间：执行 `display clock`，确认设备本地时间。如果与服务器时间差过大（通常默认超过1000秒），NTP可能拒绝同步。可尝试手动调整时间接近后再观察。
如果以上步骤无法解决，请提供 `display ntp status` 和 `display ntp sessions` 的具体输出、设备型号全称及软件版本。
最可能的原因是NTP服务未启用、缺少关键配置（如clock protocol ntp），或者设备与服务器之间存在访问控制（ACL）限制。
第一步：查看NTP同步状态（最关键）
登录到时间不准的交换机上，执行这条命令来查看NTP的同步状态：
<H3C> display ntp-service status
请重点关注输出结果中的
Clock status 字段：如果显示
synchronized：说明同步是正常的。那时间显示不对，很可能是时区没配置。检查命令：
display clock修正命令：
clock timezone Beijing add 08:00:00
如果显示
unsynchronized：说明根本没同步上。这是最常见的情况，继续往下看。
第二步：查看NTP会话详情，定位原因
如果状态是unsynchronized，再执行这条命令查看具体的会话信息：
<H3C> display ntp-service sessions
重点关注输出结果中的这几个关键字段：
Stra(Stratum层级)：如果这个值是 16，说明服务器认为自己的时间不可信，或者设备认为服务器不可达。Reach(可达性)：如果这个值是 0，说明设备根本收不到NTP服务器的回复，或者路由不通。Source(源地址)：确认这里显示的IP地址，是不是你配置的NTP服务器地址。
第三步：对症下药，逐一修复
根据上面查到的信息，可以对照下面的原因和解决方案进行排查：
| 故障现象 | 可能的原因 | 解决方案 |
|---|---|---|
display ntp-service sessions 没有输出 | NTP功能未开启 | 进入系统视图，开启NTP服务：[H3C] ntp-service enable |
Stra 为 16 或 Reach 为 0 | NTP关键配置缺失 | 检查是否漏配了以下命令，这是常见问题：[H3C] clock protocol ntp这条命令告诉设备，系统时间要听NTP的调度，否则配置了服务器也不会去同步。 |
Reach 为 0，但能Ping通 | ACL策略限制了NTP协议 | NTP使用的是 UDP 123端口。检查交换机上是否配置了ACL，放行了去往NTP服务器的UDP 123端口流量。 |
始终显示 unsynchronized | 未指定NTP源接口 | 如果设备有多个VLAN接口，需要指定用哪个接口的IP去和服务器通信：[H3C] ntp-service source Vlan-interface XXX |
可以直接在设备上执行下面这组命令，核对或补全配置：
# 1. 确保开启了NTP服务
# 2. 确保系统时间获取方式为NTP（非常关键！）
[H3C] clock protocol ntp
# 3. 配置正确的时区（中国是东八区）
[H3C] clock timezone Beijing add 08:00:00
# 4. 配置NTP服务器地址
[H3C] ntp-service unicast-server 你的服务器IP地址
# 5. （可选）如果跨网段，指定一个源接口
#
[H3C] ntp-service source Vlan-interface 你的管理VLAN
# 6. 保存配置
[H3C] save
配置完成后，等待两三分钟，再执行
display ntp-service status 验证一下。NTP同步需要一个过程，不会立即生效。暂无评论
一、先看状态（快速定位）
执行以下命令，先看 NTP 当前状态：
plaintext
display ntp-service status
display ntp-service sessions verbose
display clock
- 若
Clock status: unsynchronized→ 未同步 - 看
Stratum、Reference clock ID、Reach（可达计数）、Offset（偏移）、Delay（延迟） - 若
Reach一直是 0 → 根本没收到 NTP 响应 - 若
Offset很大（>1000s）→ 本地时间偏差太大，NTP 拒绝同步
二、最常见的 5 个原因（按优先级排查）
1. UDP 123 端口被 ACL / 防火墙拦截（最常见）
NTP 用 UDP 123 端口，ping 通不代表 123 端口通。
- 排查：plaintext
display acl all display acl interface # 看接口下应用的ACL display packet-filter statistics # 看是否有丢包 - 放行规则示例（必须双向）：plaintext
acl advanced 3000 rule permit udp source any destination 192.168.1.100 destination-port eq 123 # 去服务器 rule permit udp source 192.168.1.100 source-port eq 123 destination any # 服务器回包 - 若有防火墙 / 安全设备，必须放通 UDP 123 双向。
2. 本地时间与服务器偏差 > 1000 秒（NTP 默认拒绝）
华三设备默认：时间差超过 1000 秒，NTP 不自动同步，防止时间跳变导致业务异常。
- 排查：plaintext
display clock # 看本地时间 - 解决：先手动设一个接近的时间，再让 NTP 同步：plaintext
clock datetime 14:30:00 2026-03-23 # 手动设时间 undo ntp-service unicast-server 192.168.1.100 ntp-service unicast-server 192.168.1.100 # 重新绑定服务器
3. 时区未配置（显示时间永远不对）
默认是 UTC 时间，必须配置东八区（北京时间）：
plaintext
clock timezone CST add 8 # 东八区，CST可自定义
display clock # 确认时区
4. NTP 源接口 / 出接口绑定错误（设备找不到出接口发 NTP 包）
若设备多 VLAN / 多 VPN 实例，必须指定 NTP 用哪个接口发包：
plaintext
# 正确配置（指定出接口）
ntp-service source-interface Vlan-interface10 # 能通NTP服务器的三层接口
ntp-service unicast-server 192.168.1.100
- 若在 VPN 实例内：plaintext
ntp-service unicast-server 192.168.1.100 vpn-instance NTP_VPN ntp-service source-interface Vlan-interface10 vpn-instance NTP_VPN
5. NTP 认证配置不匹配（开了认证但密钥 / 模式错）
若服务器开了 NTP 认证，客户端必须配相同密钥、算法、可信密钥H3C：
plaintext
# 客户端配置（与服务器一致）
ntp-service authentication enable
ntp-service authentication-keyid 1 authentication-mode md5 simple 123456
ntp-service reliable authentication-keyid 1
ntp-service unicast-server 192.168.1.100 authentication-keyid 1
- 排查：
display ntp-service authentication看密钥是否可信。
三、抓包 / 调试（终极定位）
若上面都没问题，开 NTP 调试看报文：
plaintext
<H3C> debugging ntp-service all
<H3C> terminal monitor
<H3C> terminal debugging
- 看是否有：
The packet from ... failed validity tests→ 报文不合法delay >16000或disper >16000→ 服务器时钟质量差H3C- 无任何 NTP 报文 → 还是端口 / 路由问题
四、完整正确配置（可直接复制）
plaintext
# 1. 时区
clock timezone CST add 8
# 2. 启用NTP（默认已启，保险起见）
ntp-service enable
# 3. 指定NTP服务器+源接口
ntp-service source-interface Vlan-interface10 # 三层出接口
ntp-service unicast-server 192.168.1.100 prefer # prefer优先
# 4. 若有VPN实例
ntp-service unicast-server 192.168.1.100 vpn-instance NTP_VPN
ntp-service source-interface Vlan-interface10 vpn-instance NTP_VPN
# 5. 放行ACL（关键）
acl advanced 3000
rule permit udp source any destination 192.168.1.100 destination-port eq 123
rule permit udp source 192.168.1.100 source-port eq 123 destination any
# 在出接口应用
interface Vlan-interface10
packet-filter 3000 outbound
packet-filter 3000 inbound
五、验证
plaintext
display ntp-service status # 看 Clock status: synchronized
display ntp-service sessions verbose # 看 Reach=377、Offset很小
display clock # 时间正确
六、快速排查清单（按顺序做）
- 确认 UDP 123 双向放行（ping 通≠123 通）
- 本地时间与服务器差 < 1000s（手动校准）
- 配置 东八区时区
- 指定 NTP 源接口（多 VLAN/VPN 必配）
- 检查 NTP 认证 配置是否匹配
- 开 NTP 调试 看报文是否收发正常
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论