为什么 NTP 需要双向防火墙访问 UDP 端口 123？

Question

来自允许 ntp 的 iptables 规则是什么？：

iptables -A INPUT -p udp --dport 123 -j ACCEPT
iptables -A OUTPUT -p udp --sport 123 -j ACCEPT

此外，来自NTP 网站：

... ntpd 需要对特权 UDP 端口 123 的完全双向访问。 ...

我的问题是，为什么？对于不熟悉 NTP 的人来说，这似乎是一个潜在的安全漏洞，尤其是当我要求我的客户在其防火墙中打开该端口以便我的服务器可以保持时间同步时。有没有人可以给我的客户一个合理的理由来说服他们我需要在防火墙中进行此访问？帮助表示赞赏！:)

Answer 1

如果您充当服务器，则只需要允许传入流量 NTP 的端口，允许客户端与您同步。

否则，NTP 状态的存在将自动确定传入的 NTP 数据包是否被我们启动的现有防火墙状态阻止或允许。

iptables -A 输出 -p udp --sport 123 --dport 123 -j 接受

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

请让我知道 iptables 规则是否正确。我没有使用 iptables 的经验。我的 NTP 客户端在我的 pfSense 路由器上保持同步，只有一个传出允许规则，因为 pfSense 是一个有状态的防火墙。