Exécuter chrony comme serveur NTP pour un LAN : allow, stratum local et pare-feu UDP 123

Objectif

Permettre à chrony de fournir l'heure à d'autres hôtes d'un réseau local, décider s'il doit se présenter comme source faisant autorité lorsqu'il n'a aucune source externe, et vérifier les deux points en ligne de commande.

Prérequis

chrony est installé et déjà synchronisé sur des sources amont ; accès root pour modifier /etc/chrony.conf (/etc/chrony/chrony.conf sur Debian et Ubuntu) et redémarrer le service.

Étapes

1. Ajouter une ligne allow pour le sous-réseau à servir, par exemple allow 10.0.0.0/24. Cette directive désigne un sous-réseau particulier dont les clients NTP sont autorisés à accéder à la machine en tant que serveur NTP ; sans elle, par défaut, aucun client n'est autorisé à y accéder.
2. Redémarrer chronyd pour que la nouvelle directive allow soit prise en compte (systemctl restart chronyd ; l'unité s'appelle chrony sur Debian et Ubuntu) ; chronyd ne propose pas de rechargement de la configuration. chronyc allow 10.0.0.0/24 applique la même règle à l'exécution, sans redémarrage, mais elle est perdue au redémarrage suivant si elle ne figure pas aussi dans le fichier.
3. N'ajouter une directive local stratum <n> que si ce serveur doit apparaître comme synchronisé même lorsqu'il n'a pas de source amont ou l'a perdue — typiquement dans un réseau isolé. Cette option définit le stratum annoncé aux clients lorsque la référence locale est active (10 par défaut ; choisir une valeur supérieure à tout stratum réel du réseau). Si plusieurs serveurs de ce type coexistent, ils doivent tous utiliser local stratum <n> orphan et s'interroger mutuellement, afin de s'accorder sur l'un d'entre eux plutôt que de dérouter les clients. Ne pas l'ajouter sur un serveur censé suivre l'heure réelle par ailleurs : il pourrait masquer aux clients en aval une véritable perte de synchronisation avec l'amont.
4. Ouvrir le pare-feu pour le port UDP 123 en entrée depuis le sous-réseau servi ; le port de commande et de supervision de chrony est distinct et doit rester limité à localhost ou aux hôtes explicitement listés par cmdallow.
5. Vérifier que les clients utilisent bien le serveur : chronyc clients (à exécuter en root) affiche la liste des clients qui ont accédé au serveur via le port NTP, le port de commande ou le port NTS-KE, avec le nombre de requêtes par client.
6. Pour des clients situés sur un réseau non fiable, envisager Network Time Security (NTS, chrony 4.0 et ultérieur) plutôt qu'une clé symétrique pré-partagée par client : faire pointer ntsservercert et ntsserverkey vers un certificat et une clé au format PEM lisibles par chronyd, ouvrir TCP 4460 (NTS-KE) en plus de UDP 123, et ajouter l'option nts aux lignes server des clients.

Résultat attendu

chronyc clients liste les hôtes du LAN qui interrogent le serveur ; la sortie de suivi (tracking) d'un client indique cet hôte comme sa source ; les requêtes provenant de l'extérieur du sous-réseau autorisé ne reçoivent aucune réponse.

Limites et base de vérification

allow sans argument de sous-réseau, ou allow all, ouvre le service à tout ce que le pare-feu laisse passer ; il faut donc le restreindre explicitement. Un stratum local fait apparaître le serveur comme synchronisé aux yeux des clients en aval, même pendant une véritable panne des sources amont ; ne l'utiliser que lorsque ce compromis est voulu. Un redémarrage conserve le fichier de dérive (drift file), de sorte que l'horloge se rétablit rapidement, mais il faut vérifier avec chronyc clients plutôt que de supposer que le redémarrage seul a réussi.