NTP 时间同步是什么
多设备日志关联的前提是时间一致：安全设备的策略日志、NAT 日志、威胁日志要与服务器、终端日志对齐到同一时间轴，才可能还原一次事件的完整过程。安全设备与日志平台都应同步到统一的时钟源，并监控时间偏差。除时间本身，时区设置也要一致，否则日志显示时间相差整小时，跨设备关联时出现系统性错位。
基本信息
| 同步对象 | 安全设备、服务器、日志平台与网管系统 |
|---|---|
| 偏差要求 | 控制在秒级，越接近越好 |
| 协议端口 | NTP 使用 UDP 123，需在策略中放行到时钟源 |
| 时区设置 | 设备与平台使用一致时区与显示格式 |
| 监控项 | 同步状态、时钟层级、当前偏移量与是否失去同步 |
典型使用场景
- 日志平台接入前的准备：先把设备与平台时间对齐
- 安全事件复盘：按时间轴拼接多设备日志定位攻击过程
- 地址溯源：NAT 日志时间不准时无法锁定使用同一地址的不同主机
- 认证与证书：时间偏差过大会影响证书校验与单点登录
- 例行巡检：确认设备未失去同步，偏移量在可接受范围
华为 NTP 示例
华为 NTP 示例
system-view
ntp-service enable
ntp-service unicast-server 10.10.1.1 # 内网统一时钟源
quit
display ntp-service status # 核对同步状态与时钟层级H3C NTP 示例
H3C NTP 示例
system-view
ntp-service enable
ntp-service unicast-server 10.10.1.1
quit
display ntp-service status时间问题对照
| 现象 | 原因 | 处置方式 |
|---|---|---|
| 日志相差整小时 | 时区设置不一致 | 统一设备与平台时区 |
| 部分设备时间漂移 | 未配置同步或链路不通 | 核对 NTP 配置与放行策略 |
| 时间跳跃 | 时钟源异常或多次改源 | 固定时钟源并告警 |
| 关联分析错位 | 仅部分设备同步 | 把同步状态纳入例行巡检 |
| 平台入库时间异常 | 日志平台自身未同步 | 平台侧同样接入时钟源 |
日志平台自身也要同步时钟，否则入库时间与日志内记录的时间不一致；排障时先看设备时间与平台时间，再看日志内容，能省去大量猜测。