如果 ufw 上的传出和传入都被阻止，我是否需要打开任何端口才能使 NTP 同步工作？

Question

我的其中一台生产服务器，UFW配置如下：

Status: active
Logging: on (low)
Default: deny (incoming), **deny (outgoing)**, disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere
22/tcp (v6)                ALLOW IN    Anywhere (uv6)
80/tcp                     ALLOW IN    Anywhere
80/tcp (v6)                ALLOW IN    Anywhere (v6)

我通过安装 ntp 服务启用了 NTP 同步，并且它当前正在运行。当我运行时ntpq -p，我得到以下输出：

     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
+209.114.111.1   132.163.4.103    2 u  52m 1024  374   44.591    3.390   0.983
+208.75.89.4     216.218.192.202  2 u  51m 1024  374   67.622    2.429   2.171
*204.9.54.119    .CDMA.           1 u  40m 1024  374   24.324    2.344   2.116
-72.14.183.239   200.98.196.212   2 u  41m 1024  374   41.822    4.611   2.649
-91.189.94.4     193.79.237.14    2 u  43m 1024  374   74.764   -0.407   3.417

从上面的输出中，显然ntp已经正常工作，而无需在ufw -firewall上打开任何其他端口。这种理解是否正确，或者我是否需要打开任何端口才能使 NTP 同步工作？

谢谢

Answer 1

您的“何时”列告诉我 ntp 上次与这些服务器聊天最多是 40 分钟前，但您的轮询间隔为 1024 秒（约 17 分钟）。ntp 似乎没有正常运行，考虑到您的防火墙配置，这是有道理的。

您将需要 UDP 123 的出站和入站允许规则。入站是必需的，因为 UDP 是无状态的。这就像收到一个你不认识的人的邮件。