Time Server Operation 이 문서는 안녕 리눅스를 이용하여 time server 를 운영하는 것을 목적으로 한다.
리눅스 서버에서 시간 동기화를 이용하는 방법으로는 rdate 와 ntp 방식이 있다. 이 두
방식에 대한 차이는 http://time.ewha.net 을 참조하고, 여기서는 ntp 방식을 이용하여
time server 를 운영하는 방법을 설명하도록 한다.
기본적으로, ntp 방식은 straum 이라는 계층구조를 가지는데, straum 0 은 GPS 나 세슘
원자 시계등 시간을 구하는 장비를 의미하며, straum 1 은 GPS 나 세슘 원자시계등에서
직접 시간을 동기화하는 서브들을 의미한다. straum 2 부터는 계속 트리 구조로 내려가
게 된다.
여기서 straum 을 설명하는 이유는, 무턱대고 무조건 straum 1 에 동기화를 한다면, 이
straum 1 서버들은 부하를 견디지 못할 것이고, 그렇다면 서비스를 포기하는 현상이 발
생할 수 있게된다. 또한, 이렇게 사용하는 것은 ntp 설계 의미를 무시하는 일이기도 하
다.
그래서, 보통 사용하는 환경은 straum 2 에서 동기화를 하고, 이 동기화를 받은 straum
3 서버에 나머지 같이 운영하는 서버들을 peer 로 해서 동기화를 시키면 된다.
ntp protocol 을 이용했을 경우, straum 1 ~ 15 까지의 편차가 micro seconds 이므로,
굳이 straum 1 이나 2 를 고집할 이유가 전혀 없다고 봐도 무방하다.
국내에서 운영중인 straum 2 서버는 다음과 같다.
* straum 2 list
ntp.ewha.net
ticktock.ewha.net
ntp1.epidc.co.kr
ntp2.epidc.co.kr
time.bora.net
time.korserve.net
t2.korserve.net
rokkorclub.net
time.wonkwang.ac.kr
noc6-3.koren21.net
최신 목록은 http://time.ewha.net/domestic.shtml 에서 확인을 하도록 한다.
그럼, 본격적으로 설정을 해 보도록 하며, 서버가 A,B,C 가 있다고 가정을 하고, (물론
더 많을 수도 더 적을 수도 있다.) A 서버를 서비스를 위한 time server 로 설정을 하
고 B 서버와 C 서버를 A 서버에서 sync 하도록 설정을 하는 것을 예로 한다. 이하 부터
는 A 를 서버, B 와 C 를 peer 라 호칭을 한다.
방화벽 설정에 대해서는 3 번 항목을 참고한다.
1. straum 3 서버 설정하기
straum 3 라고 명칭한 이유는 straum 2 에서 sync 를 하기 때문이다. straum 2 에서
sync 하는 이유는, straum 1 의 수가 워낙적고, 접속이 원할하지 않으며, 실제로 접
속을 제한하는 서버들이 많기 때문이다.
/etc/ntp.conf 를 다음과 같이 수정을 한다.
| Hanterm - cat /etc/ntp/ntp.conf |
[oops@main dir]$ cat /etc/ntp/ntp.conf
restrict default nomodify notrap noquery
restrict 127.0.0.1
restrict 192.168.0.0 mask 255.255.255.0 nomodify notrap
# straum 2 server list
server ntp.ewha.net
server ntp1.epidc.co.kr
server time.bora.net
server time.wonkwang.ac.kr
server time.korserve.net
server noc6-3.koren21.net
driftfile /var/lib/ntp/drift
broadcastdelay 0.008
keys /etc/ntp/keys
[oops@main dir]$
|
straum 2 서버 리스트는 위의 링크를 참조하여 설정을 하도록 한다.
/etc/ntp/ntp.conf 는 안녕 리눅스의 경우이다. 보통 따로 패치를 하지 않는다면 기본
값으로 /etc/ntp.conf 를 사용한다. driftfile 과 key 의 경우에도 배포본마다 위치가
다를 수 있으니 알아서 확인을 하도록 한다.
restric 설정은 peer 들이 본 서버로 sync 하는 것에 대한 제한을 한다.
restrict default nomodify notrap noquery
이 설정은 기본으로 모든 권한을 주지 않음을 의미한다.
restrict 127.0.0.1
127.0.0.1 즉, 서버 자신에서는 모든 권한을 가진다.
restrict 192.168.0.0 mask 255.255.255.0 nomodify notrap
192.168.0.0 ~ 192.168.0.255 c class 에서는 질의를 할 수 있는 권한을 가진다.
즉, 위의 2 라인은 항상 기본으로 들어가는 설정이며, peer 를 거느릴 서버에서는 (즉
A 의 입장에서는) 하위 peer 들의 질의를 받을수 있도록 3 번째 라인과 같이 restrict
설정을 해 주어야 한다.
설정을 마쳤다면, service ntpd restart 명령으로 ntpd 를 시작 하고, ntpq 명령을 이
용하여 sync 를 잘 하고 있는지 확인을 한다.
| Hanterm - ntpq -p |
[oops@main dir]$ ntpq -p
remote refid st t when poll reach delay offset jitter
==============================================================================
*211.189.50.33 220.73.142.73 2 u 62 64 17 0.822 6.191 0.052
+ntp1.epidc.co.k 192.168.17.8 2 u 60 64 17 1.217 6.426 0.187
-zero.bora.net 192.12.19.20 2 u 60 64 17 2.427 2.205 0.226
-mrtg.wonkwang.a 203.254.163.74 2 u 56 64 17 9.292 42.379 0.106
+korserve.net 128.86.8.123 2 u 56 64 17 5.706 6.679 0.086
noc6-3.koren21. 192.36.144.22 2 u 58 64 0 1.540 3.777 0.051
[oops@main dir]$
|
ntpd 를 막 재시작 하고 ntpq 를 실행한 경우, 5 분 정도를 기다려야 sync 가 진행이
된다는 것을 명심한다.
remote 는 sync 를 하는 straum 2 서버 주소이다.
refid 는 각 straum 2 서버가 현재 sync 를 하고 있는 straum 1 서버를 보여준다.
st 는 각 라인의 remote 들의 straum 을 나타낸다.
그 외의 항목들은 ntp 가 알아서 하는 것들이니 신경쓰지 말자.
가장 중요한 것은 remote 필드의 주소 앞에 붙어 있는 기호들이다. 각 기호의 의미
는 다음과 같다.
* 는 현재 sync 를 받고 있음을 의미한다.
+ ntp 알고리즘에 의해 접속은 가능하지만 sync 를 하고 있지는 않음을 의미
- ntp 알고리즘에 의해 접속은 가능하지만 sync 가능 리스트에서 제외
blank 는 접속이 불가능함을 의미한다.
이외에 .(dot) 또는 # 등의 기호가 나올 수 있지만, 그냥 여기서는 무시하도록 한다.
아 참고로, 위의 결과는 임의로 수정한 것이다.
마지막으로 st 가 16 이 나올 경우는, 해당 서버에 접속을 할 수 없음이다.
2. peer 설정
다음은, B 와 C 를 straum 3 로 설정한 A 로 부터 sync 를 받도록 설정을 한다. A 도
메인은 a.com 이라고 가정을 하자.
| Hanterm - cat /etc/ntp/ntp.conf |
[oops@main dir]$ cat /etc/ntp/ntp.conf
restrict default nomodify notrap noquery
restrict 127.0.0.1
# straum 2 server list
server a.com
driftfile /var/lib/ntp/drift
broadcastdelay 0.008
keys /etc/ntp/keys
[oops@main dir]$
|
peer 설정에서는 server 를 straum 3 으로 지정한 서버 A 를 지정한다. 그 외에는 틀
린 것이 없다. 역시 service ntpd restart 로 재시작을 한 후에 위에서 처럼 ntpq 로
확인을 한다.
| Hanterm - ntpq -p |
[oops@main dir]$ ntpq -p
remote refid st t when poll reach delay offset jitter
==============================================================================
*a.com 211.189.50.33 2 u 62 64 17 0.822 6.191 0.052
[oops@main dir]$
|
여기서 잠깐 의문.. 왜 ntpq 확인시에, A 서버에서 sync 하는 st 가 2 인데, straum
3 에서 sync 하는 peer 들의 ntpq 에서도 여전히 2 일까?
이는 A 서버의 시간을 동기화 하는 것이 아니라 straum 3 서버가 straum 2 에서 sync
하는 시간을 forwarding 하는 것이기 때문에, straum 3 서버와 동일하게 2 로 표기가
되는 것이다. 그래서 굳이 A,B,C 가 각각 straum 2 에 sync 를 할 필요가 없는 것이
다. 또한, 그렇게 한다면 상위 straum 서버들은 상당히 버거울 것이고..
3. 방화벽 설정
ntp protocol 은 기본적으로 udp 123 번을 사용을 한다. 안녕 리눅스에서는 기본으로
oops-firewall 이 구동이 되므로, 다음의 설정들을 적용해 줘야 한다.
서버의 입장 (A 의 경우) 에서는 /etc/oops-firewall/filter.conf 에서
UDP_ALLOWPORT = 123
또는
UDP_HOSTPERPORT = 192.168.0.0/255.255.255.0:123
과 같은 설정이 필요하다. 전자는 123 번 포트를 anywhere 로 여는 것이고 후자는 접
속을 192.168.1.x 의 C class 에서의 접속만 허용하는 모습니다.
peer 의 입장 (B 나 C) 에서는 /etc/oops-firewall/filter.conf 의 가장 마지막 설정
인 OUT_UDP_ALLOWPORT 에 아래와 같이 123 번을 등록한다.
OUT_UDP_ALLOWPORT = 53 123 161
설정을 마친 후에, service oops-firewall restart 명령으로 방화벽 룰을 갱신하도록
한다.