NTP 客户端两步走
设备时间不准会毁掉日志时间线、证书校验与计费数据，开局就要配 NTP。三厂都是指定服务器加确认时间源两步，但 H3C Comware 7 有个独有的坑：还要配 clock protocol ntp，否则配置看起来齐全，时间来源却仍不是 NTP。
基本信息
| 适用平台 | 华为 VRP / Cisco IOS / H3C Comware |
|---|---|
| 华为命令 | ntp-service unicast-server 服务器地址 |
| 思科命令 | ntp server 服务器地址 |
| H3C 命令 | ntp-service unicast-server + clock protocol ntp |
| 源接口 | ntp-service source-interface / ntp source / ntp-service source |
| 端口与协议 | UDP 123 |
典型使用场景
- 开局统一时钟，跨设备日志时间线才拼得起来
- 日志集中平台按时间排序，时间错乱会导致事件无法关联
- 证书与签名校验依赖准确的系统时间
- 双机热备时两台时间偏差过大影响主备状态判断
- 合规与审计要求设备时间可追溯、可回溯
华为 VRP 与思科 IOS
华为 VRP 与思科 IOS
ntp-service unicast-server 10.10.0.5 # 指定主 NTP 服务器
ntp-service unicast-server 10.10.0.6 # 备用服务器，做冗余
ntp-service source-interface Vlanif100 # 指定源接口，便于策略精确放行
display ntp status # 查看同步状态与偏移
# 思科 IOS
ntp server 10.10.0.5
ntp source Vlan100
show ntp status # 出现 synchronized 表示已同步H3C Comware
H3C Comware
ntp-service unicast-server 10.10.0.5
ntp-service source Vlan-interface100
clock protocol ntp # Comware 7 关键步骤，漏配则不使用 NTP 时间
display ntp status
display clock # 核对当前时间与时间源三厂命令对照
| 环节 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 指定服务器 | ntp-service unicast-server | ntp server | ntp-service unicast-server |
| 源接口 | ntp-service source-interface | ntp source | ntp-service source |
| 协议开关 | 无需额外配置 | 无需额外配置 | clock protocol ntp |
| 查看状态 | display ntp status | show ntp status | display ntp status |
服务器地址建议至少配两个做冗余，源接口用回环或独立管理地址，方便中间设备用精确策略放行。跨网段部署时先确认路由与 ACL 已放通 UDP 123，否则同步一直停在不正确状态而无明显报错。
本地时间偏差过大时，部分实现会拒绝同步或需要很长时间收敛。现场可先在设备上手工设置大致正确的时间，再交给 NTP 微调，不要指望一步到位。
常见误区是只看同步状态不看实际时间。上游服务器不可达时设备会退回本地时钟并缓慢漂移，配置与状态看起来都正常；巡检时把设备当前时间与监控平台时间做比对，比只读同步标志更容易提前发现偏差。管理网切换或设备重启后，也建议复核一次时间源是否仍指向规划的服务器。