Ntp.service status inactive (dead)

Hallo an alle anderen mit der v7!

Bitte überprüfen und Status hier melden. Eventuell handelt es sich um einen generellen Bug.

Danke.

Beste Grüße

Thorsten

…bei mir auch dead…läuft nach restart. Ich suche nachher mal in den bootmeldungen. Das ist bestimmt ein Timeoutproblem…mal sehen.

Gruß Dominik

bestätigt!
gruß,
h.

same here.

Gruß,
Jochen

Hi,

habe das mal verfolgt und eigentlich ist klar, warum der ntp nicht läuft.
Ubuntu bringt einen eigenen Zeitdaemon (systemd-timesyncd.service) mit und der Service ist enabled und läuft. Im ntp.service steht, dass er genau mit diesem timesyncd.service conflicted, d.h. ntp startet eigentlich nicht, so lange der andere Service läuft. Ntp wird eigentlich auf einem Ubuntu-Server nicht gebraucht, der Dienst kommt aber über Abhängigkeiten von samba mit.

Genaueres zum timesyncd-Daemon findet man z.B. hier: https://wiki.ubuntuusers.de/systemd/timesyncd/

Ich habe den ntp.service jetzt mal disabled, da die Zeitsync über den timesyncd-Daemon ja funktioniert.

Fazit: Den nicht laufenden ntp-Prozess kann man ignorieren…ich würde sogar dingend Abstand davon nehmen, den zwangsweise zu aktivieren, da sich da zwei Zeitdienste ins Gehege kommen. Allerdings würde ich dem timesyncd-Dienst noch sagen, dass er die Opnsense als primären Zeitserver nutzen soll…das macht man in der /etc/systemd/timesyncd.conf.

Was meint ihr zu den Erkenntnissen? Liege ich falsch?

Gruß

Dominik

Vorsicht Vorsicht!
der Standard-NTP Dienst systemd-timesyncd.service läuft wohl gegenwärtig allgemein auf aktuellen Linux-Installationen.
Spätestens seit SAMBA 4 geht es bei NTP nicht mehr nur um korrekte Zeit. Innerhalb von Windowss Domänen sind nur entsprechend zertifizierte NTP-Server erlaubt.
Hier müssen wir also genau hinschauen, wie das umgesetzt wurde und ob das so umgesetzt wurde wie das SAMBA 4 und eine Windows Domäne benötgit…
siehe
By default domain joined Windows clients synchronize their clock via NT5DS with AD-DC’s.
Im zweiten Abschnit oben.
(Wir setzten dabei auf „chrony“ bei eigenen SAMBA 4 Domänen)

Hier sollten unbedingt die v7 Entwickler mitteilen, wie der NTP unter v7 und SAMBA 4 umgesetzt werden soll.
Der Zeitserver ist zu wichtig, als dass der eine so der nächste das anders tut…
ALSO: WIE SOLL ES SEIN?

Grüße,
Gerd

Hallo Dominik,

super: danke fürs nachschauen.

Was meint ihr zu den Erkenntnissen? Liege ich falsch?

ich denke du liegst richtig.
Ich kam auf ähnliches als ich mich mit dem timesync auf dem ubuntu
Client beschäftigt hatte…

Ich nehm den ntp Dienst raus und kontrolleir oder der timesync die
OPNsense als Server eingetragen hat.

LG

Holger

sorry, aber NEIN!
Denn du bekommst so auf den ersten Blick die richtig Zeit…
Drei Tage später stellt sich bei allen Windows AD Clients raus, dass hier die Zeit nicht stimmt, dann wird da wieder rum gedocktort
Bitte nicht … :wink:
Der Zeitserver muss exakt definiert sein UND sollte überall das gleiche Setup haben.
Das bedeutet für mich, dass hier „authenticated time synchronisation with NT5DS“ vom DC umgesetzt werden sollte. Ist das jetzt der Fall?

Natürlich kann ich das für „meine“ Domäne umsetzen, dass es funktioniert, das halte ich aber nicht für Zielführend.
Schön wäre es, wenn jetzt einer der „SAMBA Leute“ sagen könnte, wie sie sich das vorstellen…

Grüße,
gerd

Hi,

jetzt habe ich mir beide conf angesehen:

/etc/systemd/timesyncd.conf 
/etc/ntp.conf

In der Tat ist hier weder noch die signierte Zeitsynchronisation eingerichtet.
Das ist …
Soll dieses eigentlich richtige Feature bei allen aktuellen (Client) Systemen, die darauf bestehen, abgeschaltet werden?
Sicher nicht…
Hier fehlt was…

Ich versuch das mal für ntpd umzusetzen und melde mich dann.

Grüße,
gerd

Hallo,

Hier sollten unbedingt die v7 Entwickler mitteilen, wie der NTP unter v7
und SAMBA 4 umgesetzt werden soll.
Der Zeitserver ist zu wichtig, als dass der eine so der nächste das
anders tut…
ALSO: WIE SOLL ES SEIN?

ich hab die Entwickler verständigt.

Offensichtlich hast du da mehr Ahnung als ich :slight_smile:

Ich hab jetzt trotzdem mal dem timesyncd die Firewall als NTP Server
mitgegeben durch Eintrag in der /etc/systemd/timesyncd.conf

Da steht bei mir jetzt:

[Time]
NTP=firewall.bzpf.lan
#FallbackNTP=ntp.ubuntu.com
#RootDistanceMaxSec=5
#PollIntervalMinSec=32
#PollIntervalMaxSec=2048

Danach:

systemctl restart systemd-timesyncd

und zum Kontrollieren:

systemctl status systemd-timesyncd

Da steht nun:

root@server:~# systemctl status systemd-timesyncd
● systemd-timesyncd.service - Network Time Synchronization
   Loaded: loaded (/lib/systemd/system/systemd-timesyncd.service;
enabled; vendo
   Active: active (running) since Tue 2019-12-03 14:13:05 CET; 8s ago
     Docs: man:systemd-timesyncd.service(8)
 Main PID: 6168 (systemd-timesyn)
   Status: "Synchronized to time server 10.16.1.254:123
(firewall.bzpf.lan)."
    Tasks: 2 (limit: 4915)
   CGroup: /system.slice/systemd-timesyncd.service
           └─6168 /lib/systemd/systemd-timesyncd

LG

Holger

Status von timesyncd anzeigen:
timedatectl status

Deaktivieren des timesyncd.service

timedatectl set-ntp 0
## oder
systemctl status systemd-timesyncd.service
systemctl stop systemd-timesyncd.service
systemctl disable systemd-timesyncd.service 
systemctl status systemd-timesyncd.service

Verzeichnis des NTP Signierungs-Sockets:
ll /var/lib/samba/ntp_signd/

Damit der NTP Dienst darauf zugreifen kann, müssen hier die Rechte geändert werden:

root@server:~# chgrp ntp  /var/lib/samba/ntp_signd/
root@server:~# chmod g+rx /var/lib/samba/ntp_signd/
root@server:~# ll /var/lib/samba/ntp_signd/
total 8,0K
drwxr-x--- 2 root ntp  4,0K Dez  2 21:59 .
drwxr-xr-x 8 root root 4,0K Dez  2 21:59 ..
srwxrwxrwx 1 root root    0 Dez  2 21:59 socket

folgende zusätzliche Zeile muss in die /etc/ntp.conf

ntpsigndsocket /var/lib/samba/ntp_signd/

NTP Restart:

systemctl restart ntp.service
systemctl status ntp.service

ich habe noch die Zeitserver ersetzt durch:

server  0.de.pool.ntp.org 
server  1.de.pool.ntp.org
server  2.de.pool.ntp.org
server  3.de.pool.ntp.org

Jetzt sollte der NTP Dienst AD konform alle aktuellen -auch Window 10- Clients mit der Uhr versorgen…

Nach diesen Änderungen läuft der ntp.service
UND zwar auch wieder nach einem reboot :wink:


Befehle zum Testen der Synchronisierung auf einem Windows 10 Prof.
Client in dieser Domäne:

PS C:\Windows\system32> w32tm /resync
Befehl zum erneuten Synchronisieren wird an den lokalen Computer gesendet.
Der Befehl wurde erfolgreich ausgeführt.
PS C:\Windows\system32> w32tm /query /status
Sprungindikator: 0(keine Warnung)
Stratum: 4 (Sekundärreferenz - synchr. über (S)NTP)
Präzision: -23 (119.209ns pro Tick)
Stammverzögerung: 0.0256009s
Stammabweichung: 7.7816893s
Referenz-ID: 0x0A100001 (Quell-IP:  10.16.0.1)
Letzte erfolgr. Synchronisierungszeit: 03.12.2019 16:24:23
Quelle: server.bs-wiz.llan,0x9
Abrufintervall: 6 (64s)
PS C:\Windows\system32> date
Dienstag, 3. Dezember 2019 16:24:46
PS C:\Windows\system32> w32tm /monitor
server.bs-wiz.llan *** PDC ***[10.16.0.1:123]:
    ICMP: 0ms Verzögerung
    NTP: +0.0000000s Offset von server.bs-wiz.llan
        RefID: ntp.fra.de.as206479.net [185.120.22.12]
        Stratum: 3
[Warnung]
Die Reversenamenauflösung ist die beste Möglichkeit. Sie ist ggf. nicht
korrekt, da sich das Ref-ID-Feld in Zeitpaketen im Bereich von
NTP-Implementierungen unterscheidet und ggf. keine IP-Adressen verwendet.
PS C:\Windows\system32>

EDIT:
Jetzt habe ich zusätzlich noch umgestellt auf nur IPv4, da zZ bei uns IPv6 unschöne Fehlermeldungen bringt. Dazu muss folgende Zeile in Datei:

root@server:~# cat /etc/default/ntp
NTPD_OPTS=' -g'
## gaendert werden in:
NTPD_OPTS=' -4 -g'

Die Ausgabe von systemctl status ntp.service zeigt beide Optionen -4 -g an
und im Logfile /var/log/ntp steht anschliessend nach Dienst restart nichts mehr mit IPv6

Die gesamte /etc/ntp.conf ohne Kommentare und ohne IPv6 Einträge sieht jetzt bei mir folgendermassen aus:

 cat /etc/ntp.conf |  grep "^[^#]"

driftfile /var/lib/ntp/ntp.drift
logfile   /var/log/ntp
statistics loopstats peerstats clockstats
filegen loopstats file loopstats type day enable
filegen peerstats file peerstats type day enable
filegen clockstats file clockstats type day enable
server 0.de.pool.ntp.org 
server 1.de.pool.ntp.org
server 2.de.pool.ntp.org
server 3.de.pool.ntp.org
restrict -4 default kod notrap nomodify nopeer noquery limited
restrict 127.0.0.1
restrict 0.de.pool.ntp.org notrap nomodify noquery
restrict 1.de.pool.ntp.org notrap nomodify noquery
restrict 2.de.pool.ntp.org notrap nomodify noquery
restrict 3.de.pool.ntp.org notrap nomodify noquery
restrict source notrap nomodify noquery
ntpsigndsocket /var/lib/samba/ntp_signd/
4 „Gefällt mir“

Hallo Gerd,

super :slight_smile:

Ich setz das um, wenn sich die Entwickler gemeldet haben.

LG
Holger

Hallo Holger,

ja, bin mal gespannt, was die sagen

Grüße,
gerd

Blöde Frage (ich fürchte, ich bin blind): Der Timeserver ist schon der lmn7-Server und nicht die OPNSense?

Gruß
Roland

ja, klar, gemeint ist der Schulserver und darauf der systemd-timesyncd.service und der zZ gleichzeigt aktive ntp.service

Grüße,
gerd

Super, Gerd!
Ich frage mich nur gerade, ob das jetzt (bzw sobald die Entwickler ihr OK gegeben haben) alle einzeln auf ihren Servern umsetzen oder ob das per Update geschehen kann (auch damit es sicher bei allen einheitlich eingestellt ist!)? :thinking:

Schönen Gruß
Michael

Danke, Gerd!
Ist ja logisch, da am Win10-PC, nachdem er in der Domäne aufgenommen ist, kein Internetzeitserver mehr eingestellt werden kann. Die holt er sich vom AD-Controller und das ist ja der Schulserver.

Gruß
Roland

Hi Gerd,

danke für die Recherche und die Wissensweitergabe, hoffentlich stimmt das so und wird durch ein update automatisch eingespielt.

… scheint als habe der olle Lenard mal wieder nur halbe Brötchen gebacken. (hab ich schon gesagt, dass ich systemd nicht leiden kann?)

noch eine Frage: auf den clients gibts ja auch „chrony“. Ich habe das noch nicht kapiert, warum der genau sein muss, auch auf denen gibt es ja timesyncd und potentiell kann man ntp als client einrichten.

VG, Tobias

Hallo Tobias,

der timesyncd ist wohl jetzt so ein Standard NTP Dienst der auf den lokalen Maschinen perse für die richtige Zeit sorgt. chrony und ntp sind „mächtigere“ alternativen. Spätestens auf einem DC brauch man mehr… (Client - Server Kommunikation, zertifikate, usw.) will man dann noch Windows Clients unterhalten müssen auch dessen Standards unterstützt werden…
Das haben wir oben entsprechend umgesetzt
siehe auch: https://wiki.samba.org/index.php/Time_Synchronisation
Grüße,
gerd

Hi!

Sollte jetzt gefixt sein. Siehe hier.

VG, Thomas