为什么 NTP 需要认证
不带认证的 NTP 任何人都可以伪造时间源向网络投毒。时间被篡改会连带影响日志时间线的可信度、证书校验、审计追溯与计费类记录，因此生产网应启用 NTP 认证。三厂的思路一致：定义一个密钥（密钥 ID 加认证口令），开启认证功能，把该密钥标记为可信，再让时间源引用它。
基本信息
| 适用平台 | 思科 IOS / 华为 VRP / H3C Comware |
|---|---|
| 华为与 H3C | ntp-service authentication-keyid 加 reliable 加引用 |
| 思科 | ntp authentication-key、ntp authenticate、ntp trusted-key 三步 |
| 共享要求 | 两端密钥 ID 与口令必须完全一致，服务端必须标记为可信 |
典型使用场景
- 内网时间源安全加固，防止伪造源造成的时间投毒
- 等保与安全评估中时间同步相关整改项的落地
- 排查「同步过又失同步」这类时间源异常问题
- 新建设备接入时间同步的标准配置模板
- 跨厂商 NTP 对接时的参数逐项核对
华为 VRP
华为 VRP
[Huawei] ntp-service authentication enable
[Huawei] ntp-service authentication-keyid 1 authentication-mode md5 cipher Ntp@12345
[Huawei] ntp-service reliable authentication-keyid 1
[Huawei] ntp-service unicast-server 10.10.0.5 authentication-keyid 1
<Huawei> display ntp-service status思科 IOS
思科 IOS
SW-CORE-01(config)# ntp authentication-key 1 md5 Ntp@12345
SW-CORE-01(config)# ntp authenticate
SW-CORE-01(config)# ntp trusted-key 1
SW-CORE-01(config)# ntp server 10.10.0.5 key 1
SW-CORE-01# show ntp status
SW-CORE-01# show ntp associationsH3C Comware
H3C Comware
[H3C] ntp-service authentication enable
[H3C] ntp-service authentication-keyid 1 authentication-mode md5 cipher Ntp@12345
[H3C] ntp-service reliable authentication-keyid 1
[H3C] ntp-service unicast-server 10.10.0.5 authentication-keyid 1
<H3C> display ntp-service status三厂步骤对照
| 步骤 | 华为与 H3C | 思科 IOS |
|---|---|---|
| 开启认证 | ntp-service authentication enable | ntp authenticate |
| 定义密钥 | ntp-service authentication-keyid 1 authentication-mode md5 cipher 口令 | ntp authentication-key 1 md5 口令 |
| 标记可信 | ntp-service reliable authentication-keyid 1 | ntp trusted-key 1 |
| 指定服务器并引用 | ntp-service unicast-server 地址 authentication-keyid 1 | ntp server 地址 key 1 |
华为与 H3C 语法几乎一致（定义 authentication-keyid、标记 reliable、再在服务器命令上引用）；思科拆成三步：定义密钥、开启认证、标记可信密钥，最后在服务器命令上挂 key 号。
两端密钥 ID 与口令必须完全一致，且服务端要被标记为可信，否则同步状态会一直停在认证失败。服务端更换密钥而客户端未同步更新时，典型表现是「同步过又失同步」，排查时应先比对两侧密钥配置。
认证配置完成后仍要确认时间源本身的质量：优先选择内网权威时间服务器或时钟设备，并检查设备同步后的层级（stratum）是否正常。认证解决的是身份真实性，不解决时间源本身的准确度。