华为交换机怎么配置ntp服务器mode，核心在于选对设备角色：客户端、对等体还是广播端，其中客户端模式最常用，一条ntp-service unicast-server命令即可完成基本配置，mode选错，时间同步链路就会在某一环悄悄断开。
华为交换机ntp怎么配置：先分清三种mode
配置NTP前,先别急着敲命令，华为交换机在NTP体系里承担的角色有三种，对应着三种不同的mode，适用场景完全不同。
客户端模式（Client-Mode）：一条命令搞定
绝大多数网络环境用的都是客户端模式,这台交换机作为NTP客户端，主动向上游NTP服务器请求时间，服务器应答后完成校准，配置过程非常直接：
system-view ntp-service unicast-server 192.168.1.10
回车后交换机就开始与这台服务器协商同步,不需要再配置其他参数，如果你的网络里有认证要求，在服务器端和交换机端都要启用NTP认证：
ntp-service authentication enable ntp-service authentication-keyid 1 authentication-mode md5 cipher 你的密钥 ntp-service reliable authentication-keyid 1
然后在刚才的客户端命令后面追加认证ID：
ntp-service unicast-server 192.168.1.10 authentication-keyid 1
配完执行display ntp-service status，看到clock status显示synchronized（或类似已同步状态），说明客户端模式已经生效，再执行display ntp-service sessions，能看到服务器IP和当前会话状态。
对等体模式（Peer-Mode）：两台设备互相校准
对等体模式和客户端模式最大的区别在于：客户端只能单向从服务器取时间，而对等体双方都能主动向对方同步，也可以接受对方的同步请求，适合两台核心交换机互为备份的场景，防止单一NTP服务器故障导致全网时间失准。
配置命令是把unicast-server换成unicast-peer：
ntp-service unicast-peer 192.168.2.2
需要注意,对等体模式下两端的时钟层数（stratum）决定了谁最终说了算，业内专家指出，NTP选源时优先看时钟层数，stratum值越小，代表时间源越接近权威时钟，如果两台设备都配置了对等体却没有明确的上游权威源，可能出现时间相互覆盖的情况。
广播模式（Broadcast-Mode）：批量下发时间给接入层
当网络中接入交换机数量达到几十台甚至上百台,逐台指定NTP服务器地址就变得很繁琐，广播模式在服务器端周期性广播时间报文，同一广播域内的客户端交换机自动接收并校准，免去逐台配置。
在服务器交换机上进入连接客户端的接口视图：
interface Vlanif 10 ntp-service broadcast-server
在客户端交换机的对应接口视图下：
interface Vlanif 10 ntp-service broadcast-client
两条命令配合,整个VLAN里的交换机都能拿到时间，广播模式依赖二层广播报文，跨三层时需要用组播模式（ntp-service multicast-server和ntp-service multicast-client），并保证组播路由可达。
ntp服务器地址怎么填：端口、时区和多源选择
很多工程师配完NTP发现不同步,问题往往出在地址填写不完整或者时区没配，而不是mode配置本身。
源接口和端口：防火墙最容易卡在这
NTP使用的传输层协议是UDP,端口固定为123，这句话值得记住，因为实际排障中，防火墙或ACL放行了SSH、HTTP，却漏掉UDP 123的情况非常普遍，服务器地址能ping通不代表NTP报文能到达，ping走的是ICMP。
如果你的交换机有多条出口链路,最好指定NTP报文的源接口，避免报文从错误的接口发出去：
ntp-service source-interface vlanif 10
这个配置在核心交换机上尤其重要,多VLAN环境下不指定源接口，NTP应答报文可能无法正确回包。
时区必须单独配：行业共识认为这是最容易忽略的环节
NTP同步的是UTC时间,不带时区概念，在北京时间所在的东八区，如果不额外配置时区，交换机同步成功后显示的时间会比预期慢8小时，看起来像“没同步上”。
clock timezone Beijing add 08:00:00
配置时区后再查看display clock，显示的就是本地时间，这一步建议在所有交换机上统一配置，否则就算NTP同步成功，日志时间戳也会错位。
配了多台NTP服务器，谁生效？
在客户端模式中,可以写多个NTP服务器地址，
ntp-service unicast-server 192.168.1.10 ntp-service unicast-server 192.168.1.11 ntp-service unicast-server 192.168.1.12
但命令的先后顺序不直接代表优先级,华为设备会根据各服务器的时钟层数和往返延时综合选优，多数情况下优先选择层数更低、网络延迟更小的服务器，如果你希望某个服务器作为主时钟源，可以将其他服务器地址删掉，或者通过ntp-service reliable authentication-keyid的方式设置可信认证密钥，让启用认证的服务器优先参与同步。
华为交换机ntp时间不同步：三步定位法
NTP配置完成后发现时间没变,按照这个顺序排查，大多数问题都能定位。
第一步：看全局同步状态
display ntp-service status
重点看clock status字段，如果显示unsynchronized，说明交换机还没有成功完成任何一次同步，如果已经是synchronized，说明同步链路本身没问题，问题可能出在时区配置。
第二步：看会话列表
display ntp-service sessions
这里能看到已配置的NTP服务器地址、本地端口、远端端口以及会话状态，正常状态下，会话状态会显示为master或sync相关字段，若一直显示需要关注的事项，比如rejected、excess，则说明服务器的响应报文没有通过本地校验。
第三步：查网络和认证
- UDP 123端口是否双向可达，用
display acl all检查是否有ACL拦阻。 - 认证key是否一致,包括authentication-keyid、密钥内容、可靠密钥标记。
- 时钟层数是否合法,上游服务器的stratum达到16时会被视为不可同步源。
- 两侧时间相差过大时,NTP协议可能拒绝大幅跳变，先手动设置一个接近的时间再开启NTP。
哪种NTP mode最适合你的网络？
不同规模、不同可靠性的网络，选型逻辑完全不同，下面这张对比表可以直接按场景对照选择。
| 模式 | 适用规模 | 配置成本 | 可靠性 | 典型场景 |
|---|---|---|---|---|
| 客户端模式 | 1-50台 | 低 | 依赖上游服务器 | 中小型网络标准配置，最常用 |
| 对等体模式 | 核心层2-4台 | 中 | 高，互为冗余 | 双核心交换机互备，各有上游权威源 |
| 广播/组播模式 | 数百台接入层 | 低 | 中，依赖服务器稳定 | 大批量接入交换机批量同步 |
中小型网络建议直接采用客户端模式,配置简单，排障路径清晰，中大型网络推荐“核心层对等体 + 接入层客户端”的组合方式：核心交换机之间通过对等体模式互备，接入交换机统一以核心交换机作为NTP服务器地址，这样既保证时间源可靠，又避免每台接入交换机都去访问外部NTP服务器。
华为交换机配置ntp服务器mode常见问题
Q1：配置完NTP之后，display ntp-service status仍然显示unsynchronized，是哪里的问题？
先确认UDP 123端口可达，再检查上游服务器的时钟层数，stratum为16时会被标记为不可同步，最后核对两端的认证配置，密钥和keyid必须完全一致，且密钥需要设置为可信状态，缺一条都无法通过认证。
Q2：华为交换机作为NTP服务器给下级设备同步时间，服务器端要额外配置什么？
不需要单独开启服务,华为交换机的NTP协议栈默认支持响应客户端请求，只要UDP 123端口可达，配置文件中的NTP相关策略没有拒绝报文，下级设备发起请求后交换机就会应答，推荐在服务器端启用NTP认证，防止网络内出现伪造的时间源。
Q3：广播模式下，部分交换机一直收不到NTP时间，是什么原因？
广播模式要求服务器和客户端位于同一个二层广播域,且两端对应的接口都必须配置了NTP广播命令，如果跨了三层网络，广播报文不会被路由转发，这时需要改用组播模式，并确保组播路由协议正常工作。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/790005.html
