ネットワーク タイム プロトコル（NTP）は、分散している一連のタイム サーバとクライアント間で 1 日の時間を同期させ、複数のネットワーク デバイスから受信するシステム ログや時間関連のイベントを相互に関連付けられるようにします。NTP ではトランスポート プロトコルとして、ユーザ データグラム プロトコル（UDP）を使用します。すべての NTP 通信は UTC を使用します。

NTP サーバは通常、タイム サーバに接続されたラジオ クロックやアトミック クロックなどの正規の時刻源から時刻を受信し、ネットワークを介してこの時刻を配信します。NTP はきわめて効率的で、毎分 1 パケット以下で 2 台のマシンを相互に 1 ミリ秒以内に同期します。

NTP ではストラタム（stratum）を使用して、ネットワーク デバイスと正規の時刻源の距離を表します。

• ストラタム 1 のタイム サーバは、信頼できる時刻源に直接接続されます（無線時計や原子時計または GPS 時刻源など）。
• ストラタム 2 の NTP サーバは、ストラタム 1 のタイム サーバから NTP を使用して時刻を受信します。

同期の前に、NTP は複数のネットワーク サービスが報告した時刻を比較し、1 つの時刻が著しく異なる場合は、それが Stratum 1 であっても、同期しません。Cisco NX-OS は、無線時計や原子時計に接続できず、ストラタム 1 サーバとして動作することはできないため、インターネット上で利用できるパブリック NTP サーバを使用することを推奨します。ネットワークがインターネットから切り離されている場合、Cisco NX-OS では、NTP によって時刻が同期されていなくても、NTP で同期されているものとして時刻を設定できます。

（注）	NTP ピア関係を作成して、サーバで障害が発生した場合に、ネットワーク デバイスを同期させて、正確な時刻を維持するための時刻提供ホストを指定できます。

デバイス上の時刻は重要な情報であるため、NTP のセキュリティ機能を使用して、不正な時刻を誤って（または悪意を持って）設定できないように保護することを強く推奨します。その方法として、アクセス リストベースの制約方式と暗号化認証方式があります。

NTP の前提条件は、次のとおりです。

• NTP を設定するには、NTP が動作している 1 つ以上のサーバに接続できなければなりません。

NTP に関する設定時の注意事項および制約事項は、次のとおりです。

• NTP サーバ機能はサポートされます。

• デフォルト以外の VRF で名前ベースの NTP サーバ（FQDN）を設定する前に、その特定の VRF で DNS サーバを設定する必要があります。オプションを使用してグローバルコンフィギュレーションモードからDNSサーバを設定する場合、その名前ベースのNTPサーバ設定は実行コンフィギュレーションに追加されません。use-vrf この方法を使用して NTP サーバを設定しようとした場合は、コマンドの no バージョンを使用して NTP 設定を削除し、その VRF の下に DNS サーバを追加してから、VRF に名前ベースの NTP サーバを追加する必要があります。

• 使用するクロックの信頼性が確実な場合（つまり、信頼できる NTP サーバのクライアントである場合）に限り、別のデバイスとの間にピア アソシエーションを設定することを推奨します。

• 単独で設定したピアは、サーバの役割を担いますが、バックアップとして使用する必要があります。サーバが 2 台ある場合、いくつかのデバイスが一方のサーバに接続し、残りのデバイスが他方のサーバに接続するように設定できます。その後、2 台のサーバ間にピア アソシエーションを設定すると、信頼性の高い NTP 構成になります。

• サーバが 1 台だけの場合は、すべてのデバイスをそのサーバのクライアントとして設定することを推奨します。

• 設定できる NTP エンティティ（サーバおよびピア）は、最大 64 です。

• VRF で NTP を設定する場合は、NTP サーバおよびピアが、設定された VRF を介して相互にアクセスできることを確認します。

• ネットワーク全体の NTP サーバおよび Cisco NX-OS デバイスに、NTP 認証キーを手動で配信します。

• スイッチをエッジ デバイスとして使用して NTP を利用したい場合は、ntp access-group コマンドを使用して必要なエッジ デバイスにのみ NTP をフィルタリングすることを推奨します。

• システムに ntp passive 、ntp broadcast client 、または ntp multicast client コマンドが設定されている場合、対称アクティブの着信パケット、ブロードキャスト パケット、マルチキャスト パケットを NTP が受信する際に、送信者と同期させるための一時的なピア アソシエーションを設定できます。

  （注）	上記コマンドのいずれかを有効にする前に必ず ntp authenticate bを指定してください。そうしないと、上記のパケット タイプのいずれかを送信する任意のデバイス（悪意のある攻撃者に制御されたデバイスを含む）とデバイスが同期される可能性があります。

• ntp authenticate コマンドが指定されている場合、対称アクティブ パケット、ブロードキャスト パケット、マルチキャスト パケットが受信されても、ntp trusted-key グローバル コンフィギュレーション コマンドで指定された認証キーの 1 つがパケットで運ばれていない限り、システムとピアの同期は行われません。

• ntp access-group コマンドなど他の方法で、デバイスの NTP サービスと非承認ホストとの通信防止の措置が取られている場合を除き、非承認のネットワーク ホストとの同期を避けるには、ntp passive 、ntp broadcast client 、ntp multicast client コマンドを指定した段階で随時 ntp authenticate コマンドを指定する必要があります。

• The ntp authenticate コマンドは、ntp server および ntp peer コンフィギュレーション コマンドで設定されたピア アソシエーションを認証しません。ntp server および ntp peer アソシエーションを認証するには、key キーワードを指定します。

• 1 つの NTP アクセス グループに最大 4 つの IP ACL を設定できます。IPv4 および IPv6 ACL がサポートされています。

• インバンド ポートでパケット フラッディングが発生すると、NTPD による CPU 使用率が 90% を超える可能性があります。NTPD によるこの高い CPU 使用率を克服するには、カスタム CoPP ポリシーを使用して、NTP への着信トラフィックをレート制限します。コントロール プレーン ポリシングの詳細については、cisco.com の『Cisco Nexus 9000 Series NX-OS Security Configuration Guide』の関連バージョンの「Configuring Control Plane Policing」の章を参照してください。

  （注）	推奨されるレート制限は、ポリシー CIR フィールドの場合は 1000 kbps、BC フィールドの場合は 64,000 バイトです。

• Cisco NX-OS リリース 10.1(1) 以降、Cisco Nexus 9000 スイッチはストラタム 14 および 15 と同期しません。

• Cisco NX-OS リリース 10.3(3)F 以降、RFC 8573 標準に沿って、NTP セキュリティは、認証キーのタイプ 6 暗号化サポートとともに AES128CMAC 認証メカニズムによって強化されています。次の注意事項と制限事項が適用されます。

  • この機能には、パスワードを Type-0、Type-7、または Type-6 として設定するオプションがあります。

  • 構成できる一意のキーの最大数は 1024 で、範囲は 1 ～ 65535 です。

  • タイプ 6 認証を機能させるには、feature password encryption aes とともに、構成する新しいタイプ 6 キーを生成するために使用したものと同じプライマリ（マスター）キーをデバイスに構成します。

  • encryption re-encrypt obfuscated コマンドを使用して再暗号化を適用すると、タイプ 6 以外のすべての NTP パスワードがタイプ 6 に再暗号化されます。

  • encryption delete type6 コマンドは、NTP に構成されているすべてのタイプ 6 パスワードを削除します。

  • encryption decrypt type6 コマンドは、既存の設定済みのタイプ 6 パスワードを復号化します。

  • AES128CMAC/タイプ 6 でサポートされるバージョンから非 AES128CMAC/タイプ 6 でサポートされるバージョンに ISSD を実行するには、タイプ 6 キーの設定を解除してから ISSD を実行します。

  • プログラム（restconf/Netconf など）でキーチェーンを設定する場合は、encryptType と keyString を指定することをお勧めします。指定しない場合、キー チェーン インフラは、欠落しているプロパティのすでに使用可能な（またはデフォルトの）値を使用して keyString を構成します。

  • 欠落しているプロパティを構成する必要がある場合は、両方のピア ルータで同じ手順を実行する必要があります。

次の表に、NTP パラメータのデフォルト設定を示します。

NTP 設定を表示するには、次のタスクのうちのいずれかを実行します。

NTP セッションをクリアするには、clear ntp session コマンドを使用します。

NTP 統計情報を消去するには、clear ntp statistics コマンドを使用します。

次に、NTP パケット内で認証キー 42 を提示している時刻源とだけ同期するようデバイスを構成する md5 の例を示します。

switch# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
switch(config)# ntp authentication-key 42 md5 aNiceKey
switch(config)# ntp server 192.0.2.105 key 42
switch(config)# ntp trusted-key 42
switch(config)# ntp authenticate
switch(config)# copy running-config startup-config
[########################################] 100%
switch(config)#

次に、NTP パケット内で認証キー 12 を提示している時刻源とだけ同期するようデバイスを構成する aes128cmac の例を示します。

switch# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
switch(config)# ntp authentication-key 12 aes128cmac password 0/6/7
switch(config)# ntp server 192.0.2.105 key 12
switch(config)# ntp trusted-key 12
switch(config)# ntp authenticate
switch(config)# copy running-config startup-config
[########################################] 100%
switch(config)#

次に、以下の制約事項のある NTP アクセス グループの設定の例を示します。

• peer の制約事項は、「peer-acl」というアクセス リストの条件を満たす IP アドレスに適用されます。

• serve の制約事項は、「serve-acl」というアクセス リストの条件を満たす IP アドレスに適用されます。

• serve-only の制約事項は、「serve-only-acl」というアクセス リストの条件を満たす IP アドレスに適用されます。

• query-only の制約事項は、「query-only-acl」というアクセス リストの条件を満たす IP アドレスに適用されます。

switch# configure terminal
switch(config)# ntp peer 10.1.1.1
switch(config)# ntp peer 10.2.2.2
switch(config)# ntp peer 10.3.3.3
switch(config)# ntp peer 10.4.4.4
switch(config)# ntp peer 10.5.5.5
switch(config)# ntp peer 10.6.6.6
switch(config)# ntp peer 10.7.7.7
switch(config)# ntp peer 10.8.8.8
switch(config)# ntp access-group peer peer-acl
switch(config)# ntp access-group serve serve-acl
switch(config)# ntp access-group serve-only serve-only-acl
switch(config)# ntp access-group query-only query-only-acl
switch(config)# ip access-list peer-acl
switch(config-acl)# 10 permit ip host 10.1.1.1 any
switch(config-acl)# 20 permit ip host 10.8.8.8 any
switch(config)# ip access-list serve-acl
switch(config-acl)# 10 permit ip host 10.4.4.4 any
switch(config-acl)# 20 permit ip host 10.5.5.5 any
switch(config)# ip access-list serve-only-acl
switch(config-acl)# 10 permit ip host 10.6.6.6 any
switch(config-acl)# 20 permit ip host 10.7.7.7 any
switch(config)# ip access-list query-only-acl
switch(config-acl)# 10 permit ip host 10.2.2.2 any
switch(config-acl)# 20 permit ip host 10.3.3.3 any

（注）

単一の ACL グループのみが適用される場合、他の ACL カテゴリに関連するすべてのパケットは拒否され、設定された ACL グループに関連するパケットのみが処理されます。これについては、以下のシナリオで説明します。 serve ACL が設定されている場合、クライアント、コントロール、およびプライベート パケットのみが処理され、他のすべてのパケットは拒否されます。 serve-only ACL が設定されている場合、クライアント パケットのみが処理され、他のすべてのパケットは拒否されます。 複数の ACL が設定されている場合、以下のシナリオで説明されている処理の順序に従います。 serve と serve-only の両方が、match-all が構成されていない同じ IP アドレスに対して構成されていて、IP が serve-acl で許可され、serve-only で拒否されている場合、クライアント、コントロール、プライベート パケットはその IP に対して許可されます。