AWS NTP服务器的安全组

Question

我只是尝试在EC2实例上与NTP服务器同步时间:

服务器0.amazon.pool.ntp.org的iBurst
服务器1.amazon.pool.ntp.org的iBurst
服务器2.amazon.pool.ntp.org的iBurst
服务器3.amazon.pool.ntp.org的iBurst

不幸的是,我无法与NTP-Server同步.我的问题是:

1. 我们是否必须打开安全组中的端口以允许NTP服务器连接到EC2实例？
2. 如果是,那么我们怎么知道哪个IP是amazon.pool.ntp.org(它随着时间的推移而变化)我们无法打开All Traffics

在此先感谢
Toan Dao

Answer 1

您需要允许安全组上端口123上的出站流量达到0.0.0.0/0才能使NTP正常工作.

如果您的EC2实例位于公有子网中,则只需在安全组上允许此操作.

但是,如果您的EC2实例位于私有子网中,则您需要允许端口123上的入站和出站流量为您的NAT传递请求和响应.您的EC2实例(不是全世界)需要入站.

Answer 2

根据AWS的文件

默认情况下,在Amazon Linux实例上配置网络时间协议(NTP); 但是,实例需要访问Internet才能使标准NTP配置生效.您的实例的安全组还必须允许端口123(NTP)
源上的出站UDP流量:http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/set-time.html

因此,我们需要允许安全组上端口123上的出站流量达到0.0.0.0/0,以便NTP正常工作

Answer 3

对于最近访问过的人来说，AWS 现在拥有自己的时间服务器： https: //aws.amazon.com/blogs/aws/keeping-time-with-amazon-time-sync-service/（也只是重申一下） ：您确实需要在 AWS 虚拟机上进行时间同步，否则几个月后它们会出现明显的偏差）。

要使用它们，您需要配置 NTP 服务器（ntpd 或 chronyd）以使用 server 169.254.169.123。这个神奇的 IP 位于 AWS 内部，因此不会离开 VPC 或互联网。根据 @Rolo787 的评论，不需要更改安全组，因为它是“本地链接”（请参阅​​ https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Security.html）。

请注意，通常会包含多个服务器，并让您的客户端计算出所有服务器的时间。在 AWS 的情况下，即使它只是一个 IP，您也会与多个服务器通信，因此并不特别需要使用多个 IP。如果您被允许使用互联网 NTP 服务器以及 AWS 的服务器，那么配置多个服务器并没有什么坏处，也许可以prefer在 AWS 的服务器上选择一个选项。