chrony como servidor NTP para una LAN: allow, local stratum y firewall del puerto UDP 123

Objetivo

Hacer que chrony sirva la hora a otros equipos de una red local, decidir si debe presentarse alguna vez como fuente autoritativa cuando no tiene ninguna fuente externa y verificar ambos aspectos desde la línea de comandos.

Requisitos previos

chrony instalado y ya sincronizado con fuentes upstream; acceso root para editar /etc/chrony.conf (/etc/chrony/chrony.conf en Debian y Ubuntu) y reiniciar el servicio.

Pasos

1. Añade una línea allow para la subred que se quiere servir, por ejemplo allow 10.0.0.0/24. La directiva designa una subred concreta cuyos clientes NTP pueden acceder al equipo como servidor NTP; sin ella, por defecto no se permite el acceso a ningún cliente.
2. Reinicia chronyd para que la nueva directiva allow surta efecto (systemctl restart chronyd; en Debian y Ubuntu la unidad se llama chrony); chronyd no admite recargar la configuración. chronyc allow 10.0.0.0/24 aplica la misma regla en tiempo de ejecución sin reiniciar, pero se pierde en el siguiente reinicio si no consta también en el archivo.
3. Añade una directiva local stratum <n> solo si este servidor debe aparecer como sincronizado incluso cuando no tiene fuente upstream o la ha perdido, lo habitual en una red aislada. La opción fija el stratum que se comunica a los clientes cuando la referencia local está activa (por defecto 10; mantenlo por encima de cualquier stratum real de la red). Si hay varios servidores de este tipo, todos deben usar local stratum <n> orphan y consultarse entre sí, de modo que se pongan de acuerdo en uno de ellos en lugar de confundir a los clientes. No lo añadas en un servidor que, por lo demás, deba seguir la hora real, ya que puede ocultar a los clientes un fallo genuino de sincronización con upstream.
4. Abre el firewall para el puerto UDP 123 de entrada desde la subred servida; el puerto de comandos y monitorización de chrony es distinto y debe seguir restringido a localhost o a los equipos indicados explícitamente con cmdallow.
5. Comprueba que los clientes usan realmente el servidor: chronyc clients (ejecutado como root) muestra la lista de clientes que han accedido al servidor a través del puerto NTP, de comandos o NTS-KE, con el número de solicitudes de cada cliente.
6. Para clientes en una red no confiable, considera Network Time Security (NTS, chrony 4.0 y posteriores) en lugar de una clave simétrica compartida por cliente: apunta ntsservercert y ntsserverkey a un certificado PEM y a una clave que chronyd pueda leer, abre TCP 4460 (NTS-KE) además de UDP 123 y añade la opción nts a las líneas server de los clientes.

Resultado esperado

chronyc clients lista los equipos de la LAN que consultan el servidor; la salida de tracking del propio cliente muestra este equipo como su fuente; las solicitudes de fuera de la subred permitida no reciben respuesta.

Límites y base de verificación

allow sin argumento de subred, o allow all, abre el servicio a todo lo que el firewall permita; limítalo de forma explícita. Un stratum local hace que el servidor parezca sincronizado ante los clientes incluso durante una caída real de las fuentes upstream; úsalo solo cuando se acepte ese compromiso. Un reinicio conserva el archivo de deriva (drift file), por lo que el reloj se recupera rápido, pero verifica con chronyc clients en lugar de dar por hecho que el reinicio por sí solo ha funcionado.