h3c s5500-28c-ei 版本:version5.20交换机配置

# S5500‑28C‑EI Comware V5 NTP 无法同步排查

>
> 现象：已经配置`ntp‑service source‑interface vlan‑interface11`、`ntp‑service unicast‑server x.x.x.x`，但是时间不同步。
> ⚠️Comware V5 关键点：**配置了命令不等于进程开启，有几条容易漏的必配命令**。

## 第一步：核对完整必配配置（很多现场漏下面几条）

```
system‑view
# 1、开启NTP服务进程【V5默认关闭！不开启，配置不生效】
ntp‑service enable

# 2、指定单播NTP服务器
ntp‑service unicast‑server 【NTP服务器IP】

#3、指定NTP报文发出源接口（你已经配置vlan‑interface11）
ntp‑service source‑interface Vlan‑interface 11

#4、告诉系统使用NTP获取时间，这条非常容易漏掉！
clock protocol ntp

#5、同步成功后自动更新硬件RTC日历，断电保存时间
ntp‑service update‑calendar enable
```

>
> ⚠️注意：**NTP 与 SNTP 互斥**，如果开启`sntp enable`要 undo 掉，二者不能同时运行H3C。

## 第二步：状态查看诊断命令，根据输出定位根因

```
#1、查看NTP全局状态，重点看 Clock status
display ntp‑service status

#2、查看NTP会话，重点看 reach 、stra(层级)
display ntp‑service sessions

#3、查看完整配置
display current‑configuration | include ntp‑service

#4、测试网络连通，用源Vlan‑interface11 ping服务器
ping ‑a 【vlan‑if11的IP】 【NTP服务器IP】
```

### 关键字段解读

1. `Clock status: unsynchronized`：未同步；`synchronized`代表已经同步成功H3C。
2. **reach=0**：收不到 NTP 服务器回复报文；网络 / 路由 / ACL 拦截 UDP 123 端口。
3. **stra=16**：NTP 服务器本身未同步，不能作为时间源；服务器侧问题。
4. reach 非 0，但是依旧 unsynchronized：收到报文，但是算法判定时间源不可信；本地时间偏差巨大、认证密钥不匹配、服务器层级问题。

## 高频故障点（V5 常见）

### 1、Vlan‑interface11 协议 down

>
> source‑interface 指定的 Vlan‑interface11 必须**UP 协议 UP**，如果该 VLAN 下面没有任何 up 端口，Vlan‑interface11 直接 down，NTP 报文发不出去。

```
display ip interface brief Vlan‑interface 11
```

### 2、路由问题

交换机使用 vlan‑if11 的 IP 去访问 NTP 服务器，必须有路由（静态路由 / 默认路由）可达 NTP 服务器。ping 测试必须带上`‑a`指定源 IP 测试，不能直接 ping。

### 3、中间设备 ACL / 防火墙拦截 UDP 123

>
> ping ICMP 可以通，但是**UDP 123 被拦截**，NTP 完全没回应，表现为`reach=0`。
> 交换机本身的 ACL 也要检查，是否过滤 UDP123。

### 4、NTP 开启了认证，但交换机密钥配置不匹配

如果 NTP 服务器启用 NTP MD5 认证，交换机必须配置对应的`ntp‑service authentication‑keyid`，密钥 ID、密码必须完全一致；否则收到报文但是拒绝同步。

### 5、缺少 `clock protocol ntp`

>
> 已经配置服务器，但是系统不去使用 NTP 更新系统时钟，status 一直 unsynchronized，这个是 V5 非常高频踩坑点。

### 6、服务器 stratum 层级为 15/16

NTP 服务器自身不同步，层级 15、16，V5 客户端拒绝同步该时间源。

## 排查操作顺序

1. 确认`ntp‑service enable`已经开启，关闭 sntp；
2. 确认`clock protocol ntp`存在配置；
3. 确认`Vlan‑interface 11`状态 UP；
4. ping ‑a vlan‑if11 的 IP 测试连通 NTP 服务器；
5. 看`display ntp‑service sessions` reach 值；
6. reach=0：排查 UDP123 端口放行、路由；
7. reach 非 0 但不同步：检查 NTP 认证、服务器时钟层级、本地时间偏差；
8. 等待 3‑5 分钟，NTP 轮询间隔默认 64 秒，不会立刻同步。

## 简短总结

1. V5 NTP 容易漏配：`ntp‑service enable`、`clock protocol ntp`，缺任意一条就算写了 unicast‑server 也不会同步。
2. source‑interface 对应的 Vlan‑interface 必须 UP，同时保证该源 IP 路由可达 NTP 服务器。
3. ping 通不代表 NTP 通，NTP 依赖 UDP 123 端口，中间设备不能拦截。
4. 通过`display ntp‑service sessions`看 reach 值，是判断报文收发最关键指标。

参考手册，检查配置。1.8.1 配置NTP客户端/服务器模式