时间同步是什么
跨设备日志比对的前提是时间一致。主机、网络设备与安全设备应配置可靠时间源，统一时区并监控偏差，否则同一事件在不同设备上呈现出不同时间，证据链就断了。chrony 是 Linux 上常用的时间同步实现，配置简单但需要定期核查偏差。
基本信息
| 适用平台 | Linux 主机（chrony 或 systemd-timesyncd）；网络与安全设备另有 NTP 配置 |
|---|---|
| 配置文件 | /etc/chrony.conf |
| 核查工具 | chronyc tracking、chronyc sources、timedatectl |
| 关键参数 | server 指定时间源，makestep 控制步进校正 |
| 时区要求 | 统一时区，日志中保留偏移信息更稳妥 |
| 覆盖范围 | 服务器、网络设备、安全设备与虚拟化平台 |
典型使用场景
- 新主机初始化时配置内网时间源，避免依赖公网不稳定链路
- 事件调查前先核查各设备时间偏差，确认时间线可靠
- 网络设备与防火墙配置 NTP，保证与主机日志可拼接
- 排查日志时间跳跃问题，定位是同步异常还是时区配置不一致
- 定期核查同步状态，把偏差纳入监控告警
chrony 配置与核查
chrony 配置与核查
# /etc/chrony.conf
server ntp.aliyun.com iburst
makestep 1.0 3核查命令
核查命令
chronyc tracking # 看系统时间偏差与同步状态
chronyc sources -v # 看时间源质量
timedatectl status # 时区与 NTP 状态核查项读法
| 核查项 | 含义 | 异常表现 |
|---|---|---|
| System time offset | 系统时间与参考源的偏差 | 偏差持续增大说明同步失效 |
| Leap status | 闰秒与同步状态 | 非正常状态需排查 |
| Reach | 时间源可达性计数 | 归零说明源已不可达 |
| NTP synchronized | 是否已同步 | 显示未同步时日志时间不可靠 |
| Time zone | 当前时区 | 与日志预期时区不一致 |
日志建议保留时区信息（如 +08:00）；多时区团队沟通时统一换算口径，避免分析时错位一小时。
虚拟化环境注意宿主机与虚拟机的时间同步机制：两者同时开启同步可能相互干扰，需明确以哪个为准。