交换机 ntp mode6 漏洞

NTP SERVER 才有这个漏洞，client不需要管

原理说明

1. ntp‑service access query acl‑num含义：匹配 ACL 允许的源 IP，才授予【仅控制查询（mode6）】权限；ACL 里 deny 的源，代表不给 query 权限，但 ACL 末尾隐含 permit any，所有未匹配 IP 依然拥有默认 peer 完整权限，mode6 依然能探测，防护失效H3C。

你写acl 2000 rule 0 deny，没有 permit，ACL 对所有源 deny；ntp‑service access query 2000这条等于没有生效，其余默认 peer 权限还保留，扫描工具依旧能 mode6 查询。

✅最优方案（V7/V5 均支持，设备仅做 NTP 客户端，一条命令直接关闭 mode6/mode7 控制查询，不影响本机作为 client 向 NTP 服务器同步时间）H3C

重点：ntp‑service noquery enable只拦截别人发给本机的 mode6 控制报文；本机向外 NTP 服务器发起的同步报文完全正常，最适合只做 NTP‑client 的交换机。

备选 ACL 权限管控方案（如果你想用 ACL 白名单，只允许指定管理 IP 做 NTP 查询）

适用于内网有设备需要查询本机 NTP 状态，需要保留 mode6 能力的场景。

⚠️不要写rule 0 deny直接全拒，会导致 ntp‑service access query acl 逻辑达不到预期。

额外加固点（仅 Client 模式建议）

1. 如果本机完全不需要对外提供 NTP 服务，关闭 NTP 服务器能力：

关闭本机作为 NTP 服务器，别的设备不能来向本机取时间；本机依旧可以作为 client 去外网 NTP 服务器同步时间H3C。

验证命令，确认防护生效

检查配置里出现 ntp‑service noquery enable。

漏洞复测建议

漏洞扫描复测，观察是否还报 NTP Mode‑6 可查询漏洞；

注意：ntp‑service noquery enable是软件层面；如果设备有外网暴露 UDP 123，建议在防火墙 / 上游 ACL 层面拦截外网 UDP123 报文。

一句话精简版

原来acl2000 rule0 deny + ntp‑service query 2000配置无效；只做 NTP 客户端，优先直接配置ntp‑service noquery enable关闭 mode6/mode7 控制查询，不会影响本机同步时间；需要保留查询权限再用 ACL 白名单方式。