某公司IT近期反馈,办公室内多台电脑无法通过网络时间协议(NTP)同步时间。公司采用宽带专线接入,IT部门发现,如果绕过出口路由器(即电脑直连光猫),时间同步就能恢复正常。
本期分享的案例,与有线网络中的时间同步故障有关。
【背景介绍】
近期,某公司IT部门发现内部办公电脑无法正常进行NTP时间同步。公司网络为宽带专线,据IT人员描述,如果电脑不经过出口路由器(直连光猫),时间同步则一切正常:

故障现象(IT人员描述):
专线光猫—路由器—交换机—PC,NTP时间同步失败。专线光猫—PC,NTP时间同步正常。
【全网拓扑】
网络采用典型的三层架构(路由—核心—汇聚—接入),无线部分为AC加面板AP组网,所有设备均为某品牌;
并启用1条2000兆宽带专线接入,完成整网部署。

【分析思路】
针对这台电脑时间同步的问题,首先要明确它是通过NTP协议进行同步的,并且需要确认时间服务器的域名是否可达。排查思路如下:
确认时间服务器可达性;定位NTP丢包节点;对比电脑直连光猫和经过路由器的情况,判断是否存在异常流量导致NTP丢包。【排查分析】
(1) 第一步:确认时间服务器可达性
在电脑的时间同步设置页面,可以看到默认服务器地址为time.windows.com,我们尝试ping测试一下:

看起来DNS解析和网络连通性似乎没有太大问题。接下来,检查路由器是否存在拦截NTP报文的情况。
(2) 第二步:关闭出口路由器相关防护功能观察
通常,某些网络设备的安全防护功能可能会误拦截特定报文。现场尝试关闭该品牌出口路由器的攻击防护功能:

关闭后,发现时间同步依旧失败,看来可能和路由器拦截关系不大。下面我们通过监控WAN口抓包,观察NTP交互情况。
(3) 第三步:抓包确认NTP报文交互
现场同时监控路由器LAN侧和WAN侧流量,以IP地址为192.168.10.8的电脑进行测试,情况如下:
【LAN侧抓包】:

【WAN侧抓包】:

从上述情况可以明显看到:
NTP请求已经通过路由器正常NAT转发出去,但是没有得到前端光猫的响应,因此不存在路由器拦截NTP报文的问题,丢包出现在专线侧。
(4) 第四步:确认内网是否存在异常流量
通常,线路存在丢包等问题可能与内网异常流量有关。我们再次向IT人员了解情况,发现网络中有设备在运行PCDN业务,但如果整网运行正常,这种业务按理不应影响NTP这类基础功能才对:

于是请其暂停PCDN业务,结果电脑依旧无法完成NTP时间同步。综合来看,问题还是出在专线上。
【原理及解决方案】
问题原因:并非出口路由器拦截导致,而是宽带专线侧未响应NTP请求。
解决方案:上报网络运营商,由其对宽带线路异常进行处理。
