华三路由器设置NTP服务器，核心就三步：开启NTP服务、指定参考时钟源、放行UDP 123端口。 下面按版本差异、实操命令、排错思路和常见疑问拆开讲，照着做基本能搞定。
华三路由器NTP服务器怎么设置？先分清V5和V7版本
华三路由器目前主流是Comware V7，老设备还有V5，两者NTP基础命令相似，但开启服务和认证的细节有区别，如果你手里是MSR系列、ER系列，大概率跑的是V7；如果是老款SR系列，可能是V5，先确认版本，再敲命令，能少走弯路。
Comware V7版本NTP服务器配置命令
V7下把路由器配成NTP服务器,本质是让它用本地时钟当参考源，并对外响应NTP请求，操作路径如下：
- 进入系统视图：
system-view - 开启NTP服务：
ntp-service enable - 设置本地时钟为参考源,层级设为2：
ntp-service refclock-master 2 - 可选：指定NTP服务器监听所有接口，默认已监听UDP 123
- 保存配置：
save
命令敲完,路由器就会以自身时钟为基准，向其他设备提供NTP服务，层级2表示它离权威时钟源隔了两层，内网够用，据H3C官方配置手册，refclock-master的层级范围是1到15，数值越小越接近权威源，内网一般用2或3。
Comware V5版本NTP服务器配置差异
V5的命令框架差不多,但部分版本默认不开启NTP服务，需要显式执行ntp-service enable，V5的认证命令参数顺序略有不同，业内专家指出，V5和V7在NTP基础功能上保持兼容，但V7对安全认证的支持更完整，如果你在V5上配完发现不生效，先检查服务是否真的启动了，命令示例：
system-viewntp-service enablentp-service refclock-master 2- 查看状态：
display ntp-service status
华三路由器NTP服务器与客户端设置区别对比
很多新手容易搞混：路由器到底是客户端还是服务器？简单说，客户端是去同步别人，服务器是等着别人来同步，华三路由器可以同时扮演两个角色。
| 角色 | 核心命令 | 作用 |
|---|---|---|
| NTP客户端 | ntp-service unicast-server 192.168.1.100 |
从指定NTP服务器同步时间 |
| NTP服务器 | ntp-service refclock-master 2 |
以本地时钟为源，对外提供时间 |
| 同时做 | 先配客户端同步外部，再配服务器对外 | 内网设备指向它，它指向外部 |
如果路由器已经通过unicast-server同步到了外部时间，其他内网设备可以直接把路由器当NTP服务器用，不需要再配refclock-master，此时路由器会把同步来的时间转发出去，层级会自动调整。
企业内网时间同步：华三路由器NTP服务器配置实操
企业内网里,交换机、服务器、摄像头、门禁都依赖统一时间，时间不同步，日志检索能差出几个小时，排查故障时非常头疼，行业共识认为，部署内网NTP服务器是成本最低的时间统一方案，用华三路由器做NTP服务器，不用额外买硬件，适合中小企业。
第一步：开启NTP服务并设置参考时钟源
登录路由器,进入系统视图，依次执行：
system-view
ntp-service enable
ntp-service refclock-master 2如果路由器本身要同步外部时间,再加一条：
ntp-service unicast-server ntp.aliyun.com或者用IP地址,比如ntp-service unicast-server 203.107.6.88，注意，配了外部源之后，路由器会优先用外部时间，本地参考源层级会自动变化，内网设备指向路由器时，它们拿到的是同步后的时间。
第二步：配置NTP服务器监听与认证（可选）
默认情况下,开启NTP服务后，路由器会监听所有接口的UDP 123端口，如果只想让特定网段访问，可以用ACL限制，比如只允许192.168.10.0/24访问：
acl number 2000
rule permit source 192.168.10.0 0.0.0.255
quit
ntp-service access limited 2000认证是可选项,但企业环境建议开启，防止时间被篡改，配置命令：
ntp-service authentication enable
ntp-service authentication-keyid 1 authentication-mode md5 cipher YourPassword
ntp-service reliable authentication-keyid 1客户端也要配相同的keyid和密码才能同步。
第三步：验证NTP服务器状态
配置完别急着走,敲几条display命令确认：
display ntp-service status：看时钟层级、参考源、同步状态display ntp-service sessions：看当前有哪些客户端在同步display ntp-service trace：看时间同步路径
如果Clock status显示synchronized，说明服务器状态正常，如果显示unsynchronized，检查参考源是否可达。
华三路由器NTP时间同步失败怎么办？常见排查思路
NTP同步失败很常见,原因就那么几个，按下面顺序排查，基本能定位。
检查UDP 123端口是否放行
NTP走UDP 123，如果中间有防火墙，或者路由器上配了ACL，先确认端口通不通，在客户端上执行display ntp-service sessions，如果状态一直是configured，说明请求没发出去或者没收到回应，可以用telnet测试UDP不太方便，直接检查ACL规则和防火墙策略。
检查NTP层级和时钟源状态
服务器端执行display ntp-service status，如果Clock stratum显示16，表示时钟未同步，层级无效，常见原因是refclock-master没配，或者配了但被外部源覆盖后外部源不可达，此时路由器会退回本地时钟，但层级可能异常，重新配ntp-service refclock-master 2，或者确保外部NTP源可达。
检查网络连通性与ACL
路由器到外部NTP服务器要通。ping ntp.aliyun.com
看解析和连通性，如果公司网络限制外网，可以改用内网已有的NTP源，检查ntp-service access是否限制了客户端网段，如果配了limited但ACL没放行，客户端会被拒绝。
免费搭建NTP服务器：用华三路由器替代专用时间服务器
专用NTP服务器动辄几千块,对中小网络来说没必要，华三路由器本身就能当NTP服务器，零成本，近年来，不少企业用一台核心路由器兼做NTP服务器，省了硬件和运维成本，只要路由器性能不紧张，带几十台设备同步毫无压力。
配置时注意两点：一是路由器重启后时间会丢失，除非有RTC电池或外部源；二是如果路由器本身时间不准，同步出去的时间也是歪的，所以最好让路由器先同步外部可靠源，再对内提供服务，命令就是前面说的unicast-server加refclock-master组合。
华三路由器NTP服务器设置常见问题解答
华三路由器能同时做NTP客户端和服务器吗？
能,先配ntp-service unicast-server同步外部，再开启NTP服务，其他设备指向路由器即可，路由器会把同步来的时间转发出去，层级自动加一。
华三路由器NTP服务器需要授权吗？
不需要,NTP是基础网络服务，华三路由器默认支持，没有License限制，只要型号支持NTP功能，配了就能用。
华三路由器NTP服务器设置后其他设备怎么指向？
其他设备配置NTP客户端时,服务器地址填华三路由器的接口IP，比如路由器内网口是192.168.1.1，客户端就配ntp-server 192.168.1.1，如果开了认证，客户端也要配相同的keyid和密码，配完在客户端执行display ntp-service status，看到synchronized就成功了。
华三路由器做NTP服务器,关键就是ntp-service enable加ntp-service refclock-master 2这两条命令，版本差异不大，排错先查UDP 123和时钟层级，内网时间统一了，日志、审计、故障排查都会顺很多。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/767921.html
