Mar*_*els 2 networking cisco ntp windows-server-2008-r2 cisco-asa
今天我注意到我的 Cisco ASA 5505 防火墙的时钟运行晚了大约 15 分钟，这让我感到惊讶，因为我已经设置了 NTP 客户端。
我的两个 NTP 服务器10.10.0.1和10.10.0.2虚拟化的 Windows Server 2008 R2 域控制器，都具有正确的时间。
如下所示，ASA 知道两台服务器，可以 ping 它们并且似乎定期轮询它们，所以我想它可以同时访问它们。ASA 声称其时间源是 NTP，但时钟未同步。两个主机都未标记为已同步。
Result of the command: "ping 10.10.0.1"
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.10.0.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Result of the command: "sh ntp ass"
address ref clock st when poll reach delay offset disp
~10.10.0.1 .LOCL. 1 78 1024 377 0.5 643.69 17.0
~10.10.0.2 10.10.0.1 2 190 1024 377 0.9 655.91 58.4
* master (synced), # master (unsynced), + selected, - candidate, ~ configured
Result of the command: "sh ntp ass detail"
10.10.0.1 configured, insane, invalid, stratum 1
ref ID .LOCL., time d3932559.6aa66707 (19:58:49.416 CEDT Mon Jun 25 2012)
our mode client, peer mode server, our poll intvl 1024, peer poll intvl 1024
root delay 0.00 msec, root disp 10651.84, reach 377, sync dist 10676.743
delay 0.63 msec, offset 625.3783 msec, dispersion 24.60
precision 2**6, version 3
org time d393fc14.b4a24e74 (11:15:00.705 CEDT Tue Jun 26 2012)
rcv time d393fc14.149e12ec (11:15:00.080 CEDT Tue Jun 26 2012)
xmt time d393fc14.1474f384 (11:15:00.079 CEDT Tue Jun 26 2012)
filtdelay = 0.63 0.47 0.63 0.53 0.50 0.35 0.92 0.37
filtoffset = 625.38 629.03 635.65 643.69 644.70 646.06 644.38 642.86
filterror = 15.63 31.25 46.88 54.69 58.59 60.55 61.52 62.26
10.10.0.2 configured, insane, invalid, stratum 2
ref ID 10.10.0.1, time d393fb9b.e810a061 (11:12:59.906 CEDT Tue Jun 26 2012)
our mode client, peer mode server, our poll intvl 1024, peer poll intvl 1024
root delay 31.25 msec, root disp 10756.23, reach 377, sync dist 10796.097
delay 0.53 msec, offset 640.2991 msec, dispersion 22.28
precision 2**6, version 3
org time d393fba4.b872ee34 (11:13:08.720 CEDT Tue Jun 26 2012)
rcv time d393fba4.149a40c6 (11:13:08.080 CEDT Tue Jun 26 2012)
xmt time d393fba4.14765384 (11:13:08.079 CEDT Tue Jun 26 2012)
filtdelay = 0.53 0.64 0.85 0.87 0.61 0.81 0.53 0.73
filtoffset = 640.30 642.79 649.05 655.91 648.54 644.63 634.64 570.58
filterror = 15.63 31.25 46.88 54.69 58.59 60.55 61.52 62.30
Result of the command: "sh ntp stat"
Clock is unsynchronized, stratum 16, no reference clock
nominal freq is 99.9984 Hz, actual freq is 99.9984 Hz, precision is 2**6
reference time is 00000000.00000000 (07:28:16.000 CEST Thu Feb 7 2036)
clock offset is 0.0000 msec, root delay is 0.00 msec
root dispersion is 0.00 msec, peer dispersion is 0.00 msec
Result of the command: "sh clock detail"
10:33:23.769 CEDT Tue Jun 26 2012
Time source is NTP
UTC time is: 08:33:23 UTC Tue Jun 26 2012
Summer time starts 02:00:00 CEST Sun Mar 25 2012
Summer time ends 03:00:00 CEDT Sun Oct 28 2012
我已经尝试了手动设置时间以及删除和添加时间服务器的基本步骤，但无济于事。
我的 ASA 的 ntp 配置很简单：
ntp server 10.10.0.1
ntp server 10.10.0.2
是否需要启用身份验证才能使用 Windows NTP 服务器？
有什么想法吗？
简答
如果您需要将 Cisco box 同步到这些 Win2008 服务器，请禁用该w32time服务并为 Windows 安装 NTPv4 服务器。这是适用于 Windows 的免费 Meinberg ntpv4。
如果您w32time出于任何原因不想禁用，您可以在 (u|li)nux 服务器上托管 ntpd，将该 ntpd 同步到外部 ntp 池（例如来自 的服务器pool.ntp.org），然后将您的 ASA 指向此引用.
更长的答案
这是您上面捕获的信息的关键：
10.10.0.1 configured, insane, invalid, stratum 1
本质上，您可能无法将 IOS 机器或 ASA 同步到w32timeWindows 中的服务；有关权威链接，请参阅Cisco 支持论坛上的这篇文章。
在w32time服务中可能会出现过多的根分散。Microsoft 也承认此限制；KB939322指出您只能从w32time.
几年前在 IOS 中针对此提交了一个错误，并被思科丢弃。
CSCed13703
外部发现的中度缺陷：垃圾 (J) NTP 不会同步，将服务器标记为疯狂、无效
发行公告：
IOS 系统可能无法与 NTP 服务器同步，尽管能够向服务器发送和接收数据包。这可以通过运行 w32time 服务的 Windows 系统看到。
“show ntp associations detail”将显示服务器被标记为“insane, invalid”。“root spread”值将被视为超过1000 ms，这将导致IOS NTP实现拒绝关联。