S10516 核心交换机

S10516 做内网 NTP 服务器，汇聚 / 接入交换机 NTP 同步失败
组网：核心 S10516 作为内网时间源，不访问互联网 NTP；汇聚、接入交换机作为 NTP 客户端指向 S10516；ping 核心能通，NTP 服务开启，SNTP 关闭，但是部分交换机时间同步不上。
关键点：ping 通 ≠ NTP 正常。NTP 使用 UDP 123 端口，ICMP 通，UDP123 可能被 ACL 过滤；同时 S10516 作为服务器，必须配置本地时钟作为参考时钟，否则它对外不提供 NTP 时间。
第一步：检查核心 S10516（NTP 服务器端，绝大多数现场漏这条）
shell
system‑view
#开启NTP服务
ntp‑service enable
#【最重要】把本机系统时钟设置为NTP参考时钟，层数2（内网层级）
ntp‑service refclock‑master 2
#可选：NTP访问控制，允许内网设备访问，避免ACL拒绝NTP请求
ntp‑service acl 2000
quit
acl number 2000
rule permit source 10.0.0.0 0.255.255.255 #你的管理网段
⚠️不配置ntp‑service refclock‑master 2，S10516 本机时间虽然正确，但是 NTP 服务不会向外提供时间，客户端全部同步失败！ 这是内网隔离环境最高频故障点。
查看服务器状态：
plaintext
display ntp‑service status
输出看到stratum 2，代表本机已经作为参考时钟对外提供服务。如果 stratum=16，代表服务器本身没有有效时钟源，客户端无法同步。
第二步：汇聚 / 接入交换机（NTP 客户端标准配置）
shell
system‑view
ntp‑service enable
undo sntp enable #确保SNTP关闭，NTP与SNTP互斥
clock protocol ntp #指定系统时间由NTP协议获取（非常容易漏掉）
ntp‑service unicast‑server X.X.X.X #S10516的IP地址
#可选，如果管理报文走特定三层VLAN接口，指定源接口
#ntp‑service unicast‑server X.X.X.X source‑interface Vlan‑interface 100
重点：clock protocol ntp，这条命令告诉交换机系统时间要跟随 NTP 更新；缺少该命令，即使 NTP 会话建立成功，系统时钟不会被修改。
第三步：排错定位，按顺序执行
1）客户端查看 NTP 会话状态
plaintext
display ntp‑service sessions
display ntp‑service status
如果Clock status: unsynchronized：未同步；
如果 sessions 看不到服务器条目：服务器 IP 配置错误，路由不通；
如果能看到服务器，但是状态未同步：UDP123 报文交互异常，或者时间偏差过大。
2）检查 UDP123 端口是否被 ACL 拦截（ping 正常，NTP 不通头号原因）
NTP 是 UDP123，中间三层设备、本设备的 ACL，是否拒绝 UDP 123 报文。
plaintext
display acl all
display acl applied
排查：核心 S10516 入方向、汇聚交换机 VLANIF 接口 inbound ACL，有没有 deny udp eq 123。
3）本地时间偏差过大
客户端设备原始时间和服务器时间相差超过 1000 秒，NTP 会拒绝同步，防止时间跳变。
✅处理：客户端先手动把时间修改到和 S10516 大致接近，等待几分钟 NTP 完成校准。
plaintext
clock datetime HH:MM:SS YYYY‑MM‑DD
4）时区检查，不是不同步，只是显示时间不对
全部设备时区统一设置为CST，不要 UTC：
plaintext
clock timezone CST add 8
5）调试抓报文（故障定位）
plaintext
debugging ntp‑service all
terminal debugging
terminal monitor
在客户端开启调试，看是否发出 NTP 请求，有没有收到服务器回复。
常见踩坑总结
❌S10516 没有配置ntp‑service refclock‑master 2：本机时间正确，但是不对外提供 NTP 时间，客户端全部失败。隔离内网环境必配。
❌客户端没有配置clock protocol ntp：NTP 会话已经建立，但系统时钟不更新。
❌ICMP ping 通，但是 ACL 拦截 UDP 123 端口。
❌客户端 SNTP 没有关闭，SNTP/NTP 互斥。
❌客户端本地时间与服务器时间相差巨大，NTP 拒绝同步。
❌NTP 认证开启，但两端密钥不一致，现场没有使用认证就关闭undo ntp‑service authentication enable。

接入交换机配置ntp，核心交换机配置了nat srever了嘛网络应该是通的吧。最好贴下配置。