主页 / ubuntu / 问题 / 1369201
Accepted
user278965
Asked: 2021-10-15 04:49:30 +0800 CST

带有 NTP 的 iptables

  • 772

我iptables用来过滤流量并chronyd同步系统时间。但是，我没有让它工作，不知何故chronyd无法访问 NTP 服务器。

这是我的 iptables 规则：

# iptables -S
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT DROP
-A INPUT -i eth0 -p udp -m udp --dport 123 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --sport 123 -j ACCEPT

这是我尝试同步系统时间：

# chronyd -4 -q 'server 0.openembedded.pool.ntp.org iburst'
2021-01-27T09:06:15Z chronyd version 3.5 starting (+CMDMON +NTP +REFCLOCK +RTC -PRIVDROP -SCFILTER -SIGND +ASYNCDNS -SECHASH +IPV6 -DEBUG)
2021-01-27T09:06:15Z No suitable source for synchronisation
2021-01-27T09:06:15Z chronyd exiting

当我清除所有规则时，上述同步命令可以正常工作。

iptables

1 个回答

  1. Best Answer

    当您的计算机尝试访问 NTP 服务器时，源端口将是不确定的，服务器上的目标端口将是 123。因此，与您当前所拥有的相反。改为这样做：

    # iptables -S
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT DROP
-A INPUT -i eth0 -p udp -m udp --sport 123 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --dport 123 -j ACCEPT

    编辑：来自评论问题：

    INPUT 链--sport 123表示远程机器上的端口，OUTPUT 链--dport 123表示远程机器上的端口。

    通过不指定网络接口，一个规则可以在多个网络接口上工作，尽管我不明白你为什么要这样做。所以（未经测试）：

    -A INPUT -p udp -m udp --sport 123 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 123 -j ACCEPT
    • 1

相关问题