NTP server - Unreach/Pending (Недоступен/В Ожидании)

PTZ-M

Очередная "загадочная" проблема системы. Внутренний NTP отказывается получать данные от серверов, как своих так и любых других. Выглядит вот так:

0_1551446465016_a7a77597-fee4-4a35-a447-cff5b13f8104-изображение.png

Решение данной задачи должно быть таким - https://forum.netgate.com/topic/131506/ntp-not-working-solved-totally

Вот только не работает. Точнее, частично работает, ровно до первой перезагрузки. Лечиться так же, пару-тройку раз перезагрузиться.

Не смертельно, но и-за этого сбиваются часы в системе безопасности здания, поскольку ИБП "высасываются" и всё отключатся, до восстановления электроснабжения (как раз в выходные).

Сетка:
WAN с парой подключений к OpenVPN северу
WAN через 4G modem (резерв)
LAN
Wi-Fi в виде vlan-а через LAN-порт до точек доступа

werter

Привет.

Устанавливаем Cron.
Добавляем в Cron (периодичность - ~~от фазы Луны~~по обстоятельствам):
*/15 * * * * root /usr/bin/killall -9 ntpd ; /bin/sleep 5 ; /usr/local/sbin/ntpd -g -c /var/etc/ntpd.conf -p /var/run/ntpd.pid

0_1551448353928_Services_ NTP_ Settings.png

PTZ-M

@werter Приветствую.
Ок, а в чём смысл данной задачи? Судя по написанному рестартить NTP? Рестарт службы из веб-интерфейса не помогает. Он как долбится в непойми куда так и продолжает.
Можно тогда попробовать ресетить маршруты после перезагрузки.

werter

Настройки NTP я дал скрином.
Ставьте такие же. И пробуйте с cron-ом.

Проблема потестить имеется?

PTZ-M

@werter похоже дело было в интерфейсе для прослушивания. установил как на фото - только LAN. после перезагрузок - ~~проблема не проявляется~~.

werter

@PTZ-M
Было бы глупо заставлять NTP "слушать" WAN(-ы). Для кого? Для чего?

PTZ-M

@werter минуточку, что и где должно по вашему "слушать"? Стандартный локальный NTP сервер не туннель, а клиент-серверное приложение. Клиент забирает данные с вышестоящего сервера (в нашем случае интернетовские ntp4.stratum2.ru и 0.pfsense.pool.ntp.org через WAN), и сервером, отдаёт обработанные данные компам (в нашем случае на LAN).
В моём случае, сервер нормально получал данные от вышестоящих серверов, но после перезагрузки (уточню, что абсолютно произвольно - можно 15 раз перегрузить и всё ок будет, а можно раз в 15 дней ресануть и всё вылетает) терял с ними связь. Восстанавливалась путём перезагрузки (иногда неоднократной). Причём, если оставить его не синхронизированным, наблюдалось геометрическое отставание во времени, о чём можно почитать ТУТ и ТУТ.

werter

@PTZ-M

Круто.
Вот только на скрине выше у меня NTP Server . И вопрос в том, что на кой ляд NTP Server, к-ый обслуживает локальных клиентов должен висеть еще и на WAN. Или вы решили свой пф как сервер времени в мир выставить?

PTZ-M

@werter

в английской и русской языковой версии, в комментариях не указано, что тут выбор именно интерфейсов для отдачи. а не тех, через которые он должен запрашивать вышестоящие серверы - косякс
ну ведь работало ж

Вот последнее, пожалуйста, аргументированно объясните, желательно с приведением графической блок схемы, для понимания почему работать не должно было.

werter

Добрый.

@PTZ-M

А вы не пользуйте "руСкАязычную" версию веб-морды. Это верх глупости для данного продукта.
Почему? Потому что данный продукт предназначен явно не для домохозяек. И знание английского (на уровне понимания тех. терминов) в этом случае подразумевается априори. В крайнем случае имеется гуглопереводчик.

Вот последнее, пожалуйста, аргументированно объясните, желательно с приведением графической блок схемы,
для понимания почему работать не должно было.

А кто говорит, что не должно ? Я говорю о том, что не нужно вешать эту службу на WAN. Смысла в этом нет.

PTZ-M

@werter чем Ваш английский отличается от английского составителя русскоязычного интерфейса? Ради интереса прогнал английский текст через разные переводчики (ну мож я совсем коряво читаю) - ан нет, текст аналогичен.
И фокус с LAN - не прокатил. Опят вырубали электричество и после простоя => Недоступен/В Ожидании Наверное надо его полностью вырубать, чтобы проверять, а не ребутить

Scodezan

Попробуйте добавить статические, скажем, 88.147.254.235 и 88.147.254.234.
И добавить в Static Routes соответствующие записи, по одной на провайдера.

dragoangel

Тестили другие UDP сервисы кроме NTP? Есть потери? Мож вас провайдер подводит...
pfSense это ВМ или железка?
Wan воткнут нарямую в железку (гипервизор или baremetal) или заверчен в vlan?

У меня были очень мистические траблы в сети с udp и ntp в частности - оказалось всему злом cisco sb200 и dos protection: udp blat. И блат не то слово - выключил и все начало работать. А wan'ы были на switch завернуты в UT vlan и уже тегированый трафик шел на ВМ. Вот подороге udp и резало.

dragoangel

@werter скрин у вас странный:
На каждом стоит it is a pool, когда это не pool, а host. А по факту все записи кроме 1 можно дропать, у оставшейшся удалить "0." И вот тогда это будет pool.

werter

@dragoangel
Не поверите, но дефолтные настройки pf таки говорят, что именно так пул и настраивается (на примере *.pfsense.pool.ntp.org):
https://forum.netgate.com/topic/131506/ntp-not-working-solved-totally

@PTZ-M
У вас рабочая (т.е. предприятия) сеть - 192.168.0.x ? Или мне это показалось? Я бы ногами бил за такое. Прямо на первом собеседовании и врезал бы.

dragoangel

@werter pool в NTP подразумевает n-ое количество серверов. Когда вы говорите что "domain.com" это пул: он пытается резолвить:
domain.com, 0.domain.com, 1.domain.com, 2.domain.com, 3.domain.com, n.domain.com пока не споткнется об "not existing domain".

PTZ-M

@dragoangel

не замечал
комп на Core Duo, чисто под него
да, медь от провайдера с белым IP на входе в PCI карту компа с pfSense

@werter
чем 192.168.0.x Вам на этот раз не угодила? И да, Ваше послание я передам начальнику отдела, он будет рад, что по его лицу будут "ходить".

pigbrother

@PTZ-M said in NTP server - Unreach/Pending (Недоступен/В Ожидании):

чем 192.168.0.x Вам на этот раз не угодила?

Вы просто еще не сталкивались с ситуацией, когда нужно связать через ВПН 2\3\4 офиса и в каждом, внезапно, оказывется внутренняя адресация - 192.168.0.0?
Или создаете сотрудникам\директору доступ ВПН, а у них дома тоже сеть 192.168.0.0?

@werter said in NTP server - Unreach/Pending (Недоступен/В Ожидании):

Я бы ногами бил за такое. Прямо на первом собеседовании и врезал бы.

Как ни печально, 192.168.0 0 - 192.168.0.1 - сплошь и рядом по прежнему.

dragoangel

Когда устраивался на любую из предыдущего опыта контор сети тоже была 192.168.0.1/24, но не вижу сложности ее изменить. В основном это мелкие конторы у которых мало чего настроено. Не многие вообще имеют понимание того как нужно резать сабнеты и зачем это делать.

werter

@dragoangel said in NTP server - Unreach/Pending (Недоступен/В Ожидании):

@werter pool в NTP подразумевает n-ое количество серверов. Когда вы говорите что "domain.com" это пул: он пытается резолвить:
domain.com, 0.domain.com, 1.domain.com, 2.domain.com, 3.domain.com, n.domain.com пока не споткнется об "not existing domain".

Я это отлично понимаю. Но в дефолтных настройках NTP на пф настроено так, как я описал выше. И да, оно работает.

Зы.

Когда устраивался на любую из предыдущего опыта контор сети тоже была 192.168.0.1/24,

192.168.0.1/24 - адрес одного хоста , 192.168.0.0/24 - адрес сети,