サーバーの時計（日時）を合わせる方法

まずは、ntpをインストールします。

[CentOS,ScientificLinux]

$ yum install ntp
...

[Debian,Ubuntu]

$ aptitude install ntp
...

ntpの設定は、/etc/ntp.conf を編集して行います。 細かいオプションの設定がありますが、ここでは、最低限かつセキュアな設定を例をあげて解説します。

• NTPサーバーとして使用しない場合の設定例
  

  # 全てのNTPサーバー機能を停止します。 restrict default ignore restrict -6 default ignore # -- ntpq すら動作しなくなるので、localhostはOKとする。 restrict 127.0.0.1 restrict -6 ::1 # -- NTPサーバーとの通信は許可する restrict ntp.nict.jp notrap nomodify nopeer noquery restrict ntp.ring.gr.jp notrap nomodify nopeer noquery restrict ntp.jst.mfeed.ad.jp notrap nomodify nopeer noquery   # 自身が合わせる元のNTPサーバーを指定します。 server ntp.nict.jp iburst server ntp.ring.gr.jp iburst server ntp.jst.mfeed.ad.jp iburst   ... # monlist 機能をOFFにする(脆弱性対応) disable monitor

  
  
  restrict ディレクティブ

  [形式]
  restrict {host|default} [mask netmask] [parameter] [parameter] …
  
  [概要]
  NTPの制限（ポリシー）を宣言します。
  host : ホスト名 or IPアドレス or default(予約語) のいずれかを指定します。
  また、-6 は、IPv6の意味です。-4 は、IPv4の意味ですが、通常、省略されます。
  mask netmask : host 情報をネットワーク情報としたい場合は、ネットマスク情報をここで指定します。
  例) mask 255.255.255.0
  
  以下は各パラメータの意味です。
  

  kod

  アクセスが拒否された場合、明示的にクライアントにアクセス拒否パケット(死の接吻パケット(Kiss Of Deth)と呼ばれる)を送信します。

  notrap

  サーバの設定変更や状態の確認/変更に使用される NTP モード 6 (ntpq で使用) および 7 (ntpdc で使用) のパケットは受け付けない。時間の問い合わせには影響なし。なお、これらのパケットも UDP の 123 番ポートを使用する点に変わりはない

  ignore

  すべてのNTPパケットを無視

  nomodify

  時刻問い合わせに応答するが、時刻の変更要求などは無視

  notrust

  時刻問い合わせに応答するが、自身の時刻合わせには使用しない

  nopeer

  指定ホストと相互に同期しない

  noquery

  NTPの実装に依存する時刻問い合わせを無視

  server ディレクティブ

  [形式]
  server host [parameter] [parameter] …
  
  [概要]
  NTPサーバーを宣言します。
  host : NTPサーバーのホスト名 or IPアドレス のいずれかを指定します。
  また、-6 は、IPv6の意味です。-4 は、IPv4の意味ですが、通常、省略されます。
  
  以下は各パラメータの意味です。
  

  autokey

  サーバもしくは通信相手との間で送受信したパケットの全てが、 認証オプション の項で説明する autokey 方式を使用して暗号化された 認証フィールドを含むようになります。

  burst

  サーバが到達可能な場合、 ポーリング間隔ごとに、通常のパケット 1 個の代わりに、 パケット 8 個をバースト的に送信します。 最初のパケットと2 個目のパケットの間隔は約 16 秒としてあります。 これはモデムによる電話接続が完了するまでの時間を取るためです。 それ以後のパケットの間隔は約 2 秒です。 この動作は、 server コマンドと s アドレスを使った時刻管理を質的に改善するために 設計されました。

  iburst

  サーバもしくは通信相手との間で送受信したパケットの全てが、 1から65534の間 (両端を含む) の値の 鍵識別子 key を使用して暗号化された認証フィールドを含むようになります。 デフォルトでは、暗号化されたフィールドは含まれません。

  minpoll minpoll
  maxpoll maxpoll

  このオプションは、NTP メッセージに対する最小および最大のポーリング間隔 を、秒単位で 2 の指数の値で指定します。 最大ポーリング間隔のデフォルトは 10 (1024秒) ですが、 maxpoll オプションを使用することで、上限である 17 (36.4 時間) まで 増やすことができます。 最小ポーリング時間はのデフォルトは 6 (64 秒) ですが、 minpoll オプションを使用することで、下限である 4 (16 秒) まで 減らすことができます。

  prefer

  サーバに望ましいものとしての印をつけます。 他の条件で差がなければ、この印のついたサーバは、 正しく動作しているホストの中から同期用に選択されます。 さらなる情報が必要なら、 “緩和のルールと prefer キーワード” のページを参照してください。

  ttlttl

  このオプションは、ブロードキャストサーバモードと メニーキャストクライアントモードでのみ使用します。 このオプションは、ブロードキャストサーバとマルチキャストサーバの上で 使用する生存時間 ttl を指定し、リング検索をメニーキャストクライアントパケットに拡張する 最大 ttl を指定します。 デフォルトの値は 127 ですが、適切な値を選択するのはちょっとした 黒魔術のようなものですので、システム管理者との間の調整が必要です。

  version version

  送出する NTP パケットで使用するバージョン番号を指定します。 バージョン 1-4 から選択します。 バージョン 4 がデフォルトです。

  (出典 : man ntp.conf)

  
  
• NTPサーバーとしてローカルエリア内だけで使用する場合の設定例
  

  ここでは、ローカルエリア内（192.168.1 ネットワークとしています）からのみNTPサーバーとしての機能を受け付ける場合の設定例を解説してみます。 先の NTPサーバーとして使用しない場合の設定例 の ntp.conf の設定例に 以下の１行を追加するだけで、それを実現することができます。
  

  ... # -- LANからのアクセスは、NTPサーバーとしての通信を許可する restrict 192.168.1.0 mask 255.255.255.0 notrap nomodify nopeer noquery

  ntpサーバーには、いくつかの脆弱性が確認されています。ntpサーバーとして起動する必要があるか否かは、十分に検討の上、下記のポートを開くようにしましょう。
  iptablesなどでtcp/udpポートを閉じている場合は、必ず、ntpのtcp/udpポートを開いておきます。
  以下は、iptables の設定例です。
  

  # 123(ntpのポート)の入力は許可 $ /sbin/iptables -A INPUT -p tcp --dport 123 -j ACCEPT $ /sbin/iptables -A INPUT -p udp --dport 123 -j ACCEPT

  設定を終えたら、設定情報を保存しておきます。
  
  

  [CentOS,ScientificLinux]

  # 設定を保存 $ /sbin/iptables save

  
  

  [Debian,Ubuntu]

  # 設定を保存 $ /sbin/iptables-save > /etc/network/iptables/iptables.db

  ntpdでは、システムクロックのみの設定しか行いません。つまり、ハードクロックの設定は行わないということです。 ハードクロックとシステムクロックの違いの度合いにもよりますが、1日1回程度、システムクロックとハードクロックの同調を行うことをおすすめします。

  # hwclock コマンドでシステムクロックからハードクロックへ同調設定します。 $ hwclock --systohc

  これをCRONで1日1回程度あるいは、1W1回程度起動するようにしておくと良いと思います。

  $ vim /etc/crontab 0 5 * * * root /sbin/hwclock --systohc

  これだと、毎日5時に起動されます。