华三交换机NTP配置：从入门到排错，一篇讲透时间同步
华三交换机做NTP服务器，核心就三步：开启NTP服务、指定时钟源、设置 stratum 层级，最终让全网设备以你指定的时间源为准自动校准。 这活儿听着简单，但实际配置里坑不少，尤其是那些刚接手机房网络、被领导要求统一设备时间的兄弟，经常在细节上卡壳，今天咱们就把这事儿彻底聊明白，从基础命令到进阶排错,一次说清。
华三交换机NTP服务器配置命令详解
先说最核心的，华三的Comware平台和思科、华为的指令风格不太一样，但逻辑是通的，你登录交换机后，进系统视图，敲下面这几条,一个最基本的NTP服务器就起来了。
-
第一步：开启NTP服务
- 在系统视图下执行
ntp-service enable，这是总开关，不敲这个,后面全白搭。
- 在系统视图下执行
-
第二步：指定同步源
- 这是最关键的一步，你作为“服务器”，总得知道“标准时间”从哪来。
- 如果上层有更权威的时间源（比如核心防火墙或者专门的时间服务器），用
ntp-service unicast-server 1.2.3.4指定它。 - 如果这台交换机就是全网最高权威，没有上层了，那就把自己设为“主时钟”，用
ntp-service refclock-master 2，注意，这里的2是 stratum（层级），范围是1到15，数字越小优先级越高，通常内部网络设2或3就够了，千万别设1,那是给GPS原子钟留的。
-
第三步：检查结果
- 用
display ntp-service status看同步状态，用display ntp-service sessions看会话详情。
- 用
注意一个细节：很多朋友配完发现时间还是不对，回头一看，忘记在连接上层服务器的接口上放通UDP 123端口，华三设备默认在trust域可能没问题，但如果做了严格的域间策略,记得放行NTP流量。
华三交换机时间不同步怎么排查
配好命令不代表万事大吉。“华三交换机时间不同步怎么排查” 是运维群里问得最多的问题，遇到时间对不上，别慌，按下面这个顺序来,能解决相当一部分问题。
-
第一查：基础状态
- 敲
display ntp-service status。 - 看
Clock status字段，如果是synchronized，说明已经在同步；如果是unsynchronized,说明还没搞定。 - 看
Stratum字段，如果是16,表示还没拿到有效时间源。
- 敲
-
第二查：网络连通性
- 在交换机上
ping一下NTP服务器地址。不通的话一切免谈,先解决路由和防火墙问题。 - 确保UDP 123端口没有被ACL过滤。
- 在交换机上
-
第三查：层级与距离
- 用
display ntp-service sessions查看会话。 - 注意看
remote和stratum列，如果发现同步到了一个stratum层级很高的设备（比如15），说明时间源路径可能有问题,或者上层设备没配好。 - 行业共识认为，内网NTP层级最好控制在3层以内,避免累积误差。
- 用
-
第四查：时区与夏令时
- 这是个大坑，你NTP同步的是UTC标准时间,但业务系统要看的是北京时间。
- 必须在系统视图配置
clock timezone Beijing add 08:00:00。 - 别忘了检查
clock summer-time是否误开,国内基本用不上夏令时。
华三交换机作为NTP服务器的高阶配置与场景
基础配置搞定，咱们聊聊实战场景，很多朋友问，“华三交换机NTP服务器怎么设置才能保证内网所有设备时间一致”？答案就是分层架构。
-
中小型机房（单核心）
- 核心交换机做NTP服务器（stratum 2）,连接外网或GPS时钟源。
- 接入交换机做NTP客户端,指向核心交换机地址。
- 命令示例：接入交换机上配置
ntp-service unicast-server 10.0.0.1（核心交换机管理IP）。
-
大型园区网（多核心）
- 建议配置双NTP服务器,防止单点故障。
- 在接入交换机上配置
ntp-service unicast-server 10.0.0.1和ntp-service unicast-server 10.0.0.2,华三设备会自动选择优先级高的。 - 这里有个细节：华三设备支持
ntp-service source-interface指定源接口，建议在配置NTP时固定源IP，这样在管理端做ACL策略时更方便,也避免因为路由问题导致源地址飘忽不定。
-
对安全性要求极高的网络（金融/政务内网）
- 华三支持NTP认证,防止中间人攻击篡改时间。
- 在服务器端配置：
ntp-service authentication enablentp-service authentication-keyid 10 authentication-mode md5 cipher 你的密钥ntp-service reliable authentication-keyid 10
- 客户端也要配置相同的keyid和密钥，并指定
ntp-service unicast-server 10.0.0.1 authentication-keyid 10。 - 虽然配置稍麻烦，但在合规审计时,这是加分项。
华三交换机NTP服务器配置与维护的常见误区
最后说点实在的，很多朋友在配置时容易踩坑,我总结几个高频问题。
-
把
refclock-master当万能药- 只要没有上层源，就敲
ntp-service refclock-master 0，这是不对的，stratum层级为0是留给GPS天线等硬件时钟的，你敲个0，别的设备会把你当顶级权威，但你的本地时钟精度根本不够，容易导致全网时间漂移,一般设2或3比较稳妥。
- 只要没有上层源，就敲
-
忽略设备重启后的配置保存
- 敲完命令一定要
save force，否则交换机一重启，全部配置归零,时间又乱套了。
- 敲完命令一定要
-
不关注单向延迟
- NTP对网络延迟敏感，如果你跨三层同步，中间跳数多，延迟大，精度就会受影响，据统计，在复杂的网络环境下，NTP同步误差超过100ms的情况并不少见。NTP服务器尽量部署在核心层，离客户端越近越好。
-
NTP服务与日志时间戳脱节
- 很多运维兄弟只配了NTP，但没注意日志时间戳，在华三设备上，最好再检查一下
info-center timestamp log的格式，确保日志记录的是本地时间,方便故障定位。
- 很多运维兄弟只配了NTP，但没注意日志时间戳，在华三设备上，最好再检查一下
华三交换机NTP配置相关问题解答
华三交换机做NTP服务器，为什么客户端总显示“Rejected”？
通常不是命令问题，而是认证或层级问题，先检查服务器端是否开启了 ntp-service authentication，如果开了，客户端没配keyid肯定被拒，检查服务器端stratum层级，如果比客户端的还高（数字大）,客户端会认为时间源不可靠而拒绝同步。
我想用华三交换机同步电脑时间，但电脑老提示失败，怎么回事？
Windows系统自带的NTP客户端要求服务器端返回的时间必须带有效参考标识，你只需确保交换机上 ntp-service refclock-master 配置的层级不是16，并且交换机本身时间已经手动校准到大致正确（误差不要超过一天），Windows就能正常同步，如果时间差太大,Windows默认会拒绝跳变。
配置了NTP后，交换机CPU占用率变高，正常吗？
NTP服务本身占用资源极低，如果CPU高，大概率是广播风暴或NTP反射攻击，检查是不是有非法设备在向你的交换机发送大量NTP请求，建议在接口或ACL里限制NTP服务只对特定网段开放，或者干脆关闭全局NTP服务,仅对特定VLAN开放。
最后总结一句，华三交换机的NTP配置，核心在于“分层清晰、源接口固定、认证可选”，把这几步做好，全网设备时间整齐划一，后续查日志、做审计都会省心得多。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/684917.html
