Configura NTP su una VM

Molti sistemi software che dipendono da un'attenta sequenza degli eventi si basano su un orologio di sistema stabile e coerente. I log di sistema scritti dalla maggior parte dei servizi includono un timestamp, che aiuta a eseguire il debug dei problemi che si verificano tra i vari componenti del sistema. Per mantenere sincronizzati gli orologi di sistema, le istanze di Compute Engine sono preconfigurate in modo da utilizzare il Network Time Protocol (NTP).

Oltre a mantenere sincronizzato il tempo del server, NTP è utile nel raro caso di secondo intercalare. Il secondo intercalare è un aggiustamento di un secondo apportato all'ora UTC per tenere conto delle variazioni nella rotazione di Earth. I secondi intercalari non avvengono a intervalli di routine, poiché la velocità di rotazione della Terra varia in modo irregolare in risposta agli eventi climatici e geologici. I secondi intercalari precedenti hanno avuto un impatto notevole su diversi servizi e applicazioni sul web. I server NTP garantiscono che tutti i server registrino lo stesso orario durante l'evento di un secondo intercalare.

Questo documento descrive come configurare i server NTP sulle tue macchine virtuali (VM) in modo che si comportino correttamente in caso di secondo intercalare.

Google NTP Server e leap smearing

In genere, i secondi intercalari in un sistema operativo Unix vengono implementati ripetendo l'ultimo secondo della giornata. Ciò può causare problemi con il software, che prevede un aumento costante dei timestamp. Per aggirare questo problema, i server temporali di Google Cloud "spargiscono" il secondo in più nell'arco di ventiquattro ore, dodici prima e dodici dopo l'evento del secondo intercalare, in modo che i computer non vedano il secondo aggiuntivo contemporaneamente come timestamp ripetuto. Questo riduce i rischi nei sistemi che dipendono da un timestamp coerente. Ti consigliamo di configurare tutte le istanze di macchine virtuali (VM) di Compute Engine in modo da utilizzare i servizi NTP interni di Google.

Configura NTP per le istanze

Google Cloud non può prevedere in che modo i servizi NTP esterni, come pool.ntp.org, gestiranno il secondo intercalare. Se possibile, consigliamo di non utilizzare origini NTP esterne con le VM di Compute Engine. peggio ancora, l'utilizzo sia del servizio NTP di Google sia di un servizio esterno può causare cambiamenti imprevedibili nell'orario del sistema. È preferibile utilizzare una sola sorgente NTP esterna rispetto a una combinazione, ma i servizi NTP esterni, come pool.ntp.org, utilizzeranno probabilmente passi per gestire il secondo intercalare. Di conseguenza, le VM potrebbero vedere un timestamp ripetuto.

L'approccio più sicuro consiste nel configurare le VM di Compute Engine in modo che utilizzino un singolo server NTP, il server NTP interno fornito da Google. Non mescolare server NTP esterni e server NTP di Google, in quanto ciò potrebbe provocare comportamenti imprevisti. Per ulteriori informazioni sul server NTP interno fornito da Google, consulta le domande frequenti su Google Public NTP.

Per assicurarti che le VM siano configurate correttamente, segui queste istruzioni.

Linux (crony)

Per impostazione predefinita, la maggior parte delle nuove release di Linux utilizza chrony per gestire le impostazioni NTP e la sincronizzazione dell'ora. Per assicurarti che chrony utilizzi solo il servizio NTP interno, controlla la configurazione di chrony e rimuovi i server NTP esterni.

  1. Utilizza ssh per connetterti all'istanza.

    Console

    Per utilizzare la console per connetterti alla VM tramite SSH, segui questi passaggi:

    1. Vai alla pagina Istanze VM nella console Google Cloud.

      Vai a Istanze VM

    2. Fai clic sul pulsante SSH per la VM da configurare.

      Pulsante SSH.

    gcloud

    Per utilizzare Google Cloud CLI per connetterti alla VM tramite SSH, esegui questo comando:

    gcloud compute instances ssh VM_NAME

    Sostituisci VM_NAME con il nome della VM a cui ti stai collegando.

  2. Sulla tua istanza, esegui chronyc sources per controllare lo stato attuale della configurazione NTP:

    $ chronyc sources

    L'output è simile al seguente:

     210 Number of sources = 2
 MS Name/IP address         Stratum Poll Reach LastRx Last sample
 ===============================================================================
 ^* metadata.google.internal      2   6   377     4    -14us[  -28us] +/-  257us
 ^- 38.229.53.9                   2   6    37     4   -283us[ -297us] +/-   28ms

    Se vedi un singolo record che punta a metadata.google o metadata.google.internal, non è necessario apportare modifiche. Se vedi più origini, combinate tra metadata.google e un'origine pubblica come pool.ntp.org, aggiorna le origini per rimuovere tutti i server NTP esterni.

    Nell'output di esempio sono presenti due record, uno che punta a metadata.google.internal e un altro che rimanda a un indirizzo esterno. Poiché esistono più origini, devi aggiornare i server NTP per rimuovere l'indirizzo 38.229.53.9, come descritto nel passaggio successivo.

  3. Configura i server NTP in modo da rimuovere i server NTP esterni.

    Per rimuovere il server NTP aggiuntivo dall'elenco, modifica il file /etc/chrony/chrony.conf utilizzando il tuo editor di testo preferito. Trova tutte le righe che iniziano con server external_source_ip_or_name e rimuovile.

    Dopo aver modificato il file /etc/chrony/chrony.conf, riavvia il servizio chrony. Il comando da riavviare può variare a seconda della distribuzione di Linux, come mostrato negli esempi seguenti:

    sudo service chrony restart

    sudo systemctl restart chrony

  4. Verifica la configurazione eseguendo di nuovo il comando chronyc sources:

    $ chronyc sources

    L'output dovrebbe essere simile al seguente: 

     210 Number of sources = 1
 MS Name/IP address         Stratum Poll Reach LastRx Last sample
 ===============================================================================
 ^* metadata.google.internal      2   7   377    98  -1343ns[-1588ns] +/-  396us

Linux (ntpd)

La maggior parte delle distribuzioni Linux meno recenti utilizza ntpd per gestire le impostazioni NTP e la sincronizzazione dell'ora. Per assicurarti che ntpd utilizzi solo il servizio NTP interno, controlla la configurazione di ntpd e rimuovi i server NTP esterni.

  1. Utilizza ssh per connetterti all'istanza.

    Console

    Per utilizzare la console per connetterti alla VM tramite SSH, segui questi passaggi:

    1. Vai alla pagina Istanze VM nella console Google Cloud.

      Vai a Istanze VM

    2. Fai clic sul pulsante SSH per la VM da configurare.

      Pulsante SSH.

    gcloud

    Per utilizzare Google Cloud CLI per connetterti alla VM tramite SSH, esegui questo comando:

    gcloud compute instances ssh VM_NAME

    Sostituisci VM_NAME con il nome della VM a cui ti stai collegando.

  2. Sulla tua istanza, esegui ntpq -p per controllare lo stato attuale della configurazione NTP:

    $ ntpq -p

    L'output è simile al seguente:

    remote           refid           st t when poll reach   delay   offset  jitter

==============================================================================
*metadata.google 255.28.23.83     2 u   27   64    1    0.634   -2.537   2.285
*217.162.232.173 130.149.17.8     2 u  191 1024  176   79.245    3.589  27.454

    Se vedi un singolo record che punta a metadata.google o metadata.google.internal, non è necessario apportare modifiche. Se vedi più origini, combinate tra metadata.google e un'origine pubblica come pool.ntp.org, devi aggiornare le origini per rimuovere tutti i server NTP esterni.

    Nell'output di esempio sono presenti due record, uno che punta a metadata.google e un altro che rimanda a un indirizzo esterno. Poiché esistono più origini, devi aggiornare i server NTP per rimuovere l'indirizzo *217.162.232.173, come descritto nel passaggio successivo.

  3. Configura i server NTP in modo che rimuovano le origini esterne.

    Per configurare i server NTP, modifica il file /etc/ntp.conf utilizzando il tuo editor di testo preferito. Trova la sezione servers della configurazione e rimuovi tutte le origini NTP non Google, ad esempio:

    vim /etc/ntp.conf

    # You do need to talk to an NTP server or two (or three).
#server ntp.your-provider.example
...
server metadata.google.internal iburst

    Dopo aver modificato il file /etc/ntp.conf, riavvia il servizio NTP. Il comando per il riavvio potrebbe variare in base alla distribuzione Linux:

    sudo service ntp reload

  4. Verifica la configurazione eseguendo di nuovo il comando ntpq -p:

    ntpq -p

    remote           refid           st t when poll reach   delay   offset  jitter
==============================================================================
*metadata.google 255.28.23.83     2 u   27   64    1    0.634   -2.537   2.285

Windows

  1. Vai alla pagina Istanze VM nella console Google Cloud.

    Vai a Istanze VM

  2. Fai clic sul pulsante RDP accanto all'istanza Windows a cui vuoi connetterti.

    Pulsante SSH.

  3. Dopo aver eseguito l'accesso, fai clic con il tasto destro del mouse sull'icona di PowerShell e seleziona Esegui come amministratore.

    Icona PowerShell.

  4. Al caricamento del prompt di comando, esegui questo comando per visualizzare la configurazione NTP attuale:

    w32tm /query /configuration

    [Configuration]
...
Type: NTP (Local)
NtpServer: metadata.google.internal,
...

    Se vedi un singolo record che punta a metadata.google o metadata.google.internal, non è necessario apportare modifiche. Se vedi più origini, miste tra metadata.google e un'origine pubblica, devi rimuovere il server esterno. Segui la guida di Windows per configurare il server NTP.

  5. Per garantire la compatibilità del software più diffusa con le VM Windows, Google consiglia di utilizzare il driver gVNIC per garantire un'accuratezza NTP inferiore al millisecondo con metadata.google.

    Se devi utilizzare VirtIO con la tua VM Windows, per ottenere una precisione inferiore al millisecondo con i server NTP, Google consiglia di non utilizzare il servizio Windows Time Service (interrompi e annulla la registrazione di w32tm).

    1. Interrompi il servizio ora di Windows:

      net stop w32time

    2. Rimuovi Windows Time Service dal Registro di sistema:

      w32tm /unregister

    3. Dopo aver interrotto e rimosso il servizio Windows Time Service dal registro, installa il client NTP di Meinberg.

      Segui le istruzioni di configurazione fornite nella documentazione di Meinberg.

    4. Configura il server NTP per il client NTP di Meinberg come metadata.google.internal.

      Dopo aver completato la configurazione di NTP, attendi da 5 a 15 minuti affinché l'orologio di sistema nella VM si stabilizzi con il server NTP.

      Per informazioni sul motivo per cui l'utilizzo di w32tm non è consigliato, consulta la documentazione relativa ai problemi noti.

Utilizzo dell'iap smearing con sistemi esterni a Google Cloud

La funzionalità di smealing rapido dei server NTP di Google è un modo conveniente per gestire il rischio associato alla ripetizione di un secondo su sistemi sensibili al tempo. Altri servizi NTP potrebbero fornire una soluzione accettabile per la maggior parte dei sistemi software. Tuttavia, è importante non combinare i servizi NTP di Google con i servizi NTP pubblici.

Per sincronizzare i dispositivi al di fuori di Google Cloud in modo da distribuire il tempo, puoi utilizzare Google Public NTP per questi dispositivi. La NTP pubblica di Google utilizza lo stesso sbrinamento del secondo intercalare fornito alle VM di Compute Engine.

Passaggi successivi