Op deze pagina
Kernpunten
- Scheid tijd- en controleverkeerGewone client/server-tijduitwisseling en beheerqueries hebben verschillende doelen.
- Controleer de werkelijke implementatieHistorisch monlist-gedrag beschrijft niet iedere huidige NTP-server.
- Controleer synchronisatie na filteringEen bereikbare applicatie bewijst niet dat de tijdbronnen van de host nog werken.
Reflectie gebruikt een vervalst bronadres
Een NTP-reflector antwoordt op het bronadres van een verzoek. Is dat vervalst, dan kan een onafhankelijke bestemming de antwoorden ontvangen. Versterking ontstaat wanneer het antwoord groter is dan het verzoek; het precieze patroon hangt af van implementatie, query en configuratie.
Het historische misbruik van monlist betrof ouder ntpd-gedrag. Presenteer dit niet als een functie die in iedere huidige NTP-installatie actief is. Identificeer implementatie en ondersteunde versie: configuraties van ntpd, NTPsec en chronyd zijn niet onderling uitwisselbaar.
Pad van NTP-reflectie
- Vervalst verzoek
Het bronadres wijst naar het slachtoffer.
- Bereikbare tijdserver
Een toegestane query levert een antwoord op.
- Ingang bij het slachtoffer
Antwoorden verbruiken verbindings- en pakketverwerkingscapaciteit.
Tijdsynchronisatie en controlequeries zijn verschillende handelingen
In de gebruikelijke client/server-uitwisseling is NTP-modus 3 een clientverzoek en modus 4 een serverantwoord. Modus 6 is voor controleberichten; modus 7 is een private implementatieafhankelijke categorie van oudere hulpmiddelen. Behandel niet ieder pakket vanaf UDP-bronpoort 123 als dezelfde handeling.
Een machine zonder openbare tijddienst kan inkomende antwoorden van ingestelde tijdbronnen nodig hebben. Alle UDP/123-pakketten filteren kan daarom synchronisatie verbreken terwijl het een verkeerspiek lijkt op te lossen. Leg verwachte peers en normale communicatie vast voordat u uitzonderingen bepaalt.
Analyseer het incident inclusief verkeersrichting
Vind het knelpunt
Vergelijk provider-, tunnel- en servertellers met verlies en dienstfouten. Een opname verderop meet geen eerder weggegooide pakketten. Houd bandbreedtedruk en pakketverwerkingsdruk als afzonderlijke waarnemingen bij.
Onderzoek de pakketcontext
Noteer bron- en doelpoort, NTP-modus indien decodeerbaar, bestemmingsrol en pakketgroottes. Antwoorden komen vaak van bronpoort 123; alleen doelpoort 123 bekijken kan antwoorden aan een andere lokale clientpoort missen.
Controleer wat de host werkelijk heeft opgevraagd
Vergelijk toegestane tijdpeers met recente clientactiviteit. Ontbrekende verzoeken in gesamplede of eenzijdige waarnemingen bewijzen geen reflectie. Het netwerkpad kan asymmetrisch zijn en flowrecords bevatten niet noodzakelijk de NTP-modus.
Meet legitieme handelingen
Controleer applicatietransacties en de synchronisatiestatus van de tijddienst. Volg klokafwijking en bronbereikbaarheid gedurende een passend interval; de systeemklok toont niet altijd direct een fout zodra antwoorden stoppen.
Beperk controletoegang zonder de tijddienst uit te zetten
Gebruik een ondersteunde versie en beperk beheerqueries tot de bedoelde beheerders. Openbare tijdlevering en openbare afstandsbesturing zijn verschillende eisen. Pas regels voor de gebruikte daemon toe, inclusief controle van IPv4- en IPv6-bereikbaarheid.
In de gedocumenteerde toegangsregels van ntpd 4.2.8 weigert noquery ntpq/ntpdc-queries zonder de tijddienst te weigeren. Alleen nomodify laat leesqueries nog toe. Dit licht de opties toe en vormt geen volledige configuratie om in een andere implementatie te plakken.
Controleer de effectieve toegangslijst en test vanaf een bevoegde beheerhost en een gewone tijdclient. Behoud vereiste peers, poolwerking en monitoring. Plan herstart of herladen volgens uw beheerprocedure; zwakkere authenticatie of alle monitoring uitschakelen is geen passende oplossing.
Filter bij het slachtoffer vóór de uitgeputte resource
Vult reflectie de klantoverdracht, dan herstelt filtering erachter de verloren capaciteit niet. Werk met de upstream samen aan een geverifieerd patroon voor de betreffende bestemming. Als bandbreedte resteert en de druk lokaal is, kan een geschikte lokale regel hostresources beschermen.
Behoud verwachte tijdantwoorden en ander UDP-verkeer. Een bronpoortregel inspecteert niet ieder fragment en bewijst niet dat een antwoord ongevraagd is. Controleer selectiesemantiek, uitzonderingen, gedrag van snelheidslimieten en regelverwijdering op het ontvangende apparaat.
Valideer bij omleiding over een beschermd pad zowel routing en schone aflevering als de regel. Encapsulatie voegt geen ontvangstcapaciteit toe. Wijs een eigenaar aan voor het tijdelijke filterbeleid en de terugkeer naar normale routing.
Voorbeeld: een gameserver die ook NTP-client is
Een gameserver kan geen openbare tijddienst aanbieden terwijl zijn besturingssysteem met externe peers synchroniseert. Bij vermoedelijke reflectie kan een algemene UDP/123-blokkade ongewenste en noodzakelijke tijdantwoorden samen verwijderen. Dit is een illustratief foutscenario, geen gemeten klantincident.
De acceptatietest moet daarom spelersverbindingen, normaal verkeer over het beschermde pad en bereikbare tijdbronnen omvatten. Noteer gekozen peer, synchronisatiestatus en klokafwijking na filtering en na intrekking van de noodregel. Een geslaagde ping valideert noch de applicatie noch de klok voldoende.
Fouten die onvolledig herstel verbergen
- Historische monlist-versterking presenteren als het gedrag van alle moderne tijddiensten.
- Bron- en doelpoort verwarren of aannemen dat elk antwoord naar lokale poort 123 gaat.
- De configuratiesyntaxis van een andere daemon toepassen zonder versie en toegangsmodel te controleren.
- Herstel melden op basis van een lagere aanvalsgrafiek terwijl synchronisatie defect blijft.
- Een brede noodregel na de aanval behouden zonder legitiem verkeer opnieuw te testen.
Vragen en antwoorden
Kan reflectie een host treffen die geen NTP aanbiedt?
Ja. Antwoorden kunnen naar zijn vervalste adres worden gestuurd. Als client kan de host toch legitieme NTP-antwoorden nodig hebben.
Schakelt noquery kloksynchronisatie uit?
In de genoemde ntpd-4.2.8-toegangsregels beperkt dit beheerqueries, niet de tijddienst. Andere regels en implementaties moeten apart worden gecontroleerd.
Wat toont aan dat mitigatie werkt?
Minder ongewenste belasting, herstelde legitieme transacties, aanvaardbare verliezen en werkende tijdbronnen op het daadwerkelijke afleverpad. Eén poortteller bewijst niet al deze punten.
