Linux 时间同步脚本

时间：2018.9.6
作者：李强
参考：man,info，magedu讲义,万能的internet
实验环境：VMware® Workstation 14 Pro ,Centos 6.10,Centos 7.5，SecureCRT Version 8.1.4
声明：以下英文纯属个人翻译，英文B级，欢迎纠正，以下内容纯属个人理解，并没有对错，只是参考，盗版不纠,才能有限，希望不误人子弟为好。
版本：v1-2018.9.6

参考资料：

Centos 6 ntpd服务器

http://www.cnblogs.com/liushui-sky/p/9203657.html(博客中perfer应该为prefer)

https://www.jianshu.com/p/80ab71d50872

https://www.cnblogs.com/quchunhui/p/7658853.html

https://www.cnblogs.com/kerrycode/archive/2015/08/20/4744804.html

man -k ntp
man ntp.config

ntp服务器地址：
http://www.ntp.org.cn

Centos 7 chrony

https://www.cnblogs.com/cloudos/p/NTP.html

https://linux.cn/article-4764-1.html

写在前面

需求

1、因为各种业务需求，需要分析日志，而因为时间不同导致日志信息时间的不准确性，无法正产判断分析故障原因
2、看到之前需要老前辈，直接使用crontd+ntpdate来实现时间的同步，但是网上也说了ntpdate易导致时间抖动的问题，因此综合网上的各种资料，写一个符合实际需求的博客。
3、因为条件限制，这里只做了2台主机的测试。并没有采用ansible的方式，待后期优化。

Centos6脚本（使用ntp/ntpdate）：

1、服务器端配置

#!/bin/bash
#1、不用判断，直接安装，有的话就不会安装，没的话也就安装上了。

yum -q -y ntp ntpdate &>/dev/null

#2、配置ntp服务

sed -i 's/^server/#server/g'  /etc/ntp.conf
sed -i 's/^restrict -6/#restrict -6/g'  /etc/ntp.conf
cat >> /etc/ntp.conf </dev/null;then
echo "SYNC_HWCLOCK=yes" >>/etc/sysconfig/ntpd
sed  -i '/OPTIONS/s@"$@ -l /var/log/ntpd.log"@' /etc/sysconfig/ntpd  
fi
#PS:注意这里@和-l之间是有空格的。

#4、首次客户端和服务器端时间超过1000秒，就不会去同步，所以先ntpdate先同步下时间。

ntpdate cn.ntp.org.cn &>/dev/null && hwclock -w 

#5、放行防火墙规则
if  ! service  iptables status|grep "not running" &>/dev/null;then
    if ! iptables-save |grep 123 &>/dev/null;then
        iptables -I INPUT -p udp --dport 123 -j ACCEPT
        iptables-save >/etc/sysconfig/iptables
    fi
fi
#6、启动服务，添加开机自启

service ntpd start 
chkconfig ntpd on 

以上，过5分钟ntpstat查看下是否同步了，如下图，

ntpq -p 查看时间服务器状态

字段	含义
remote	本机和上层ntp的ip或主机名，“+”表示优先，“*”表示次优先
refid	参考上一层ntp主机地址
st	stratum阶层
when	多少秒前曾经同步过时间
poll	下次更新在多少秒后
reach	已经向上层ntp服务器要求更新的次数
delay	网络延迟
offset	时间补偿
jitter	系统时间与bios时间差

注意：
1、/etc/sysconfig/ntpd 这个配置文件就是指定ntpd运行时后面带的参数。具体可以man ntpd看到可以添加哪些参数
2、使用ntpstat查看的时候，只能说明之前同步过ntp同步源，但是即使ntp源无法访问之类的，这个同步状态依然是不变的。
3、防火墙放行123端口
4、如果主从服务时间超过1000秒则不再进行同步了，这时候要手动同步，
5、ntp和chrony服务不能同时开启

2、客户端配置

和服务器一样，只不过server地址改成ntp服务器地址即可。

Centos7脚本（使用chrony）：

1、服务器端配置

#!/bin/bash
# 1、install chronyd

yum clean all &>/dev/null;yum -qy install chrony &>/dev/null

# 2、config chronyd service

sed -i 's/^server/#server/g'  /etc/chrony.conf
cat >> /etc/chrony.conf <<-eof
    #  Start custom config
    # add time server address

    server cn.ntp.org.cn iburst

    # Allow NTP client access from local network
    allow 192.168/16
        这个是有必要的，具体看下面的错误分析
    # End custom config
eof

# 3、

# 4、add iptables rule  and  start chronyd service  

if [[ `rpm -q centos-release|cut -d- -f3` -eq "7" ]] ;then
    if  !  systemctl  status firewalld|grep "active (running)" &>/dev/null;then
        if ! firewall-cmd --list-all|grep -e "ntp" -e "123/udp" &>/dev/null;then
             firewall-cmd --add-service=ntp
             firewall-cmd--permanent --add-service=ntp
        fi
    fi
    systemctl start chronyd.service
    systemctl enable chronyd.service
else
    if  ! service  iptables status|grep "not running" &>/dev/null;then
        if ! iptables-save |grep 123 &>/dev/null;then
            iptables -I INPUT -p udp --dport 123 -j ACCEPT
            iptables-save >/etc/sysconfig/iptables
        fi
    fi
    service chronyd start
    chkconfig chronyd on
fi

2、客户端配置

#!/bin/bash
# 1、install chronyd

yum clean all &>/dev/null;yum -qy install chrony &>/dev/null

# 2、config chronyd service

sed -i 's/^server/#server/g'  /etc/chrony.conf
cat >> /etc/chrony.conf <<-eof
    #  Start custom config
    # add time server address

    server 172.31.255.2 iburst
    bindcmdaddress 127.0.0.1
    # End custom config
eof

# 3、 start chronyd service  

if [[ `rpm -q centos-release|cut -d- -f3` -eq "7" ]] ;then
    systemctl start chronyd.service
    systemctl enable chronyd.service
else
    service chronyd start
    chkconfig chronyd on
fi

查看时间同步源：# chronyc sources -v

如果时间同步了，timedatectl会看到这里是yes，否则是no

查看时间同步源状态：# chronyc sourcestats -v

查看当前配置：
egrep -v "^#|^$" /etc/chrony.conf

注意：
1、7个人喜欢的一点是软件较新，而且配置文件做了一定的初始优化。/etc/chrony.conf 初始的server s2m.time.edu.cn iburst，测试发现时间无法同步。
2、注意放行chronyd和ntpd都是使用123端口，因此ntp和chrony服务不能同时开启

ntpd、ntpdate的区别

下面是网上关于ntpd与ntpdate区别的相关资料。如下所示所示：

使用之前得弄清楚一个问题，ntpd与ntpdate在更新时间时有什么区别。ntpd不仅仅是时间同步服务器，它还可以做客户端与标准时间服务器进行同步时间，而且是平滑同步，并非ntpdate立即同步，在生产环境中慎用ntpdate，也正如此两者不可同时运行。

时钟的跃变，对于某些程序会导致很严重的问题。许多应用程序依赖连续的时钟——毕竟，这是一项常见的假定，即，取得的时间是线性的，一些操作，例如数据库事务，通常会地依赖这样的事实：时间不会往回跳跃。不幸的是，ntpdate调整时间的方式就是我们所说的”跃变“：在获得一个时间之后，ntpdate使用settimeofday(2)设置系统时间，这有几个非常明显的问题：

第一，这样做不安全。ntpdate的设置依赖于ntp服务器的安全性，×××者可以利用一些软件设计上的缺陷，拿下ntp服务器并令与其同步的服务器执行某些消耗性的任务。由于ntpdate采用的方式是跳变，跟随它的服务器无法知道是否发生了异常（时间不一样的时候，唯一的办法是以服务器为准）。

第二，这样做不精确。一旦ntp服务器宕机，跟随它的服务器也就会无法同步时间。与此不同，ntpd不仅能够校准计算机的时间，而且能够校准计算机的时钟。

第三，这样做不够优雅。由于是跳变，而不是使时间变快或变慢，依赖时序的程序会出错（例如，如果ntpdate发现你的时间快了，则可能会经历两个相同的时刻，对某些应用而言，这是致命的）。因而，唯一一个可以令时间发生跳变的点，是计算机刚刚启动，但还没有启动很多服务的那个时候。其余的时候，理想的做法是使用ntpd来校准时钟，而不是调整计算机时钟上的时间。

NTPD 在和时间服务器的同步过程中，会把 BIOS 计时器的振荡频率偏差——或者说 Local Clock 的自然漂移(drift)——记录下来。这样即使网络有问题，本机仍然能维持一个相当精确的走时。

Chrony是一个开源的自由软件，它能保持系统时钟与时钟服务器（NTP）同步，让时间保持精确。

它由两个程序组成：chronyd和chronyc。

chronyd是一个后台运行的守护进程，用于调整内核中运行的系统时钟和时钟服务器同步。它确定计算机增减时间的比率，并对此进行补偿。

chronyc提供了一个用户界面，用于监控性能并进行多样化的配置。它可以在chronyd实例控制的计算机上工作，也可以在一台不同的远程计算机上工作。

Chrony时间同步程序特点：

准确的时间同步：

Chrony 是网络时间协议的另一种实现，与网络时间协议后台程序（ntpd）不同，它可以更快地且准确的同步系统时钟。

Chrony 的优势包括:

更快的同步只需要数分钟而非数小时时间，从而最大程度的减少时间和频率误差，这对于并非全天运行的台式计算机或系统而言非常有用。
能够更好的响应时间频率的快速变化，这对于具备不稳定时钟的虚拟机或导致时钟频率反生变化的节能技术而言非常有用。
在初始同步后，它并不会停止时钟，以防对需要系统时间保持单调的程序造成影响。
在应对临时非对称延迟时，（例如，大规模下载造成链接饱和时）提供了更好的稳定性。
无需对服务器进行定期轮询，因此具备间歇性网络连接的系统仍然可以快速同步时钟。

错误分析

1、Starting chronyd: Could not open keyfile /etc/chrony.keys for writing
[FAILED]
这个是因为开启了selinux，关闭即可启动正常。

2、^?

因为配置文件配置的是域名，而解析出的域名不一定能够访问，所以会出现不可达，

这个是因为服务器上allow的网段没有配置好，默认是不对外提供服务，需要放行相关网段。