Análisis de captura de paquetes de deriva del reloj NTP: fallas de sincronización de tiempo, compensación, retraso, fluctuación y problemas de firewall
Cómo analizar fallas de sincronización de hora NTP en capturas de paquetes, incluidos desplazamiento, retraso, fluctuación, respuestas faltantes, servidores incorrectos, bloqueos de firewall y síntomas de desviación del reloj.
Los fallos de sincronización horaria crean extraños problemas secundarios: "los certificados TLS parecen no válidos, los registros están desordenados, Kerberos falla, la replicación de la base de datos se queja, los rastros distribuidos son engañosos y las cámaras o grabadoras muestran marcas de tiempo incorrectas. Los usuarios buscan "pcap de deriva del reloj NTP", "captura de paquetes con falla de sincronización horaria", "NTP sin respuesta UDP 123", "jitter de retardo de compensación NTP" y "por qué la hora del servidor se desvía" cuando la hora del sistema parece incorrecta pero necesitan evidencia de red."
Una captura de paquetes puede mostrar si las solicitudes NTP salen, si las respuestas regresan, qué servidor respondió, con qué frecuencia sondea el cliente y si el retraso de la red o la pérdida de paquetes pueden afectar la sincronización.
La cirugía PCAP es útil porque los paquetes NTP son pequeños y fáciles de eliminar accidentalmente al recortar una captura de solución de problemas más grande.
¿Qué utiliza NTP?
NTP generalmente usa el puerto UDP 123. Un cliente envía una solicitud a un servidor de tiempo y el servidor responde con marcas de tiempo utilizadas para estimar el desplazamiento y el retraso.
Si las solicitudes salen y no se obtienen respuestas, el problema puede ser el firewall, el enrutamiento, la accesibilidad del servidor, el DNS o la política local. Si llegan respuestas pero el tiempo aún pasa, inspeccione la elección del servidor, el comportamiento de las encuestas y el comportamiento del reloj del sistema.
Síntomas comunes
Los problemas de NTP aparecen como:
- El tiempo pasa minutos u horas.
- Errores de certificado TLS "aún no válido" o "caducado".
- Error de autenticación Kerberos.
- Los registros de varios sistemas no se alinean.
- Las marcas de tiempo de los paquetes parecen inconsistentes entre las capturas.
- Las grabaciones de NVR/cámara muestran una hora incorrecta.
- Los tramos de rastreo distribuidos parecen negativos o desordenados.
La causa principal puede ser NTP, pero las aplicaciones informan fallas en las capas superiores.
Paquete de evidencia
Captura:
- Solicitudes NTP del cliente.
- Respuestas del servidor.
- IP de origen y destino.
- Intervalo de encuesta.
- Estrato donde sea visible.
- Los campos de salto/estado fueron decodificados.
- Cronograma de ida y vuelta.
- Faltan respuestas.
- Mensajes ICMP inalcanzables.
Si el cliente envía al servidor equivocado, el seguimiento lo revela.
Problemas con firewall y NAT
UDP 123 puede bloquearse saliente, entrante o por política. Algunas redes permiten DNS y HTTPS pero bloquean NTP. Algunos entornos obligan a los clientes a utilizar servidores de hora internos.
Síntomas:
- Las solicitudes se repiten sin respuesta.
- Aparece Puerto ICMP inalcanzable.
- NTP externo bloqueado, NTP interno funciona.
- VPN cambia la accesibilidad del servidor horario.
Calidad del tiempo versus accesibilidad
Un servidor puede responder pero aun así no ser una buena fuente de tiempo. La calidad de NTP depende de la estabilidad del servidor, el retraso de la red, la fluctuación, el estrato y el comportamiento disciplinario del cliente. Es posible que un pcap por sí solo no demuestre la calidad del oscilador, pero puede mostrar la sincronización de paquetes y la selección del servidor.
Para una desviación grave, combine la evidencia de paquetes con los registros de sincronización horaria del sistema operativo.
Checklist
Utilice este flujo de trabajo:
- Filtrar el puerto UDP 123.
- Identificar los servidores NTP configurados.
- Compruebe si las solicitudes salen.
- Compruebe si regresan las respuestas.
- Inspeccionar el tiempo de respuesta.
- Busque ICMP inalcanzable.
- Compare NTP interno y externo.
- Conserve los paquetes NTP al recortar rastros más grandes.
- Correlacionar con los registros de sincronización horaria del sistema.
- Si compara capturas, asegúrese de que los hosts de captura estén sincronizados en el tiempo.
Diagnóstico final
El análisis de paquetes NTP puede distinguir el tráfico de tiempo bloqueado, servidores inaccesibles, configuración incorrecta del servidor, respuestas faltantes, ruta de sincronización deficiente y síntomas de capas superiores causados por la desviación del reloj.
PCAP Surgery ayuda a preservar la pequeña evidencia NTP que a menudo explica problemas mucho mayores de autenticación, TLS, registro y sistemas distribuidos.