Executando o chrony como servidor NTP para uma LAN: allow, local stratum e firewall na UDP 123

Objetivo

Fazer o chrony servir horário a outros hosts de uma rede local, decidir se ele deve alguma vez se apresentar como fonte autoritativa quando não tem nenhuma fonte externa e confirmar ambos os pontos pela linha de comando.

Pré-requisitos

chrony instalado e já sincronizando com fontes upstream; acesso root para editar /etc/chrony.conf (/etc/chrony/chrony.conf no Debian e no Ubuntu) e reiniciar o serviço.

Passos

1. Adicione uma linha allow para a sub-rede que deve ser atendida, por exemplo allow 10.0.0.0/24. A diretiva define uma sub-rede específica da qual clientes NTP podem acessar o computador como servidor NTP; sem ela, o padrão é não permitir o acesso de nenhum cliente.
2. Reinicie o chronyd para que a nova diretiva allow entre em vigor (systemctl restart chronyd; no Debian e no Ubuntu a unidade se chama chrony); o chronyd não tem recarregamento de configuração. chronyc allow 10.0.0.0/24 aplica a mesma regra em tempo de execução, sem reiniciar, mas ela se perde na próxima reinicialização, a menos que também esteja no arquivo.
3. Só adicione uma diretiva local stratum <n> se este servidor deve aparecer como sincronizado mesmo quando não tem fonte upstream ou a perdeu — tipicamente numa rede isolada. A opção define o stratum informado aos clientes quando a referência local está ativa (padrão 10; mantenha-o acima de qualquer stratum real da rede). Vários servidores assim devem usar todos local stratum <n> orphan e consultar uns aos outros, de modo que cheguem a um acordo sobre qual deles usar, em vez de confundir os clientes. Não a adicione em um servidor que, de resto, deve acompanhar o horário real, pois ela pode esconder dos clientes uma falha genuína de sincronização upstream.
4. Abra o firewall para a porta UDP 123 de entrada a partir da sub-rede atendida; a porta de comando e monitoramento do chrony é outra e deve permanecer restrita ao localhost ou a hosts listados explicitamente com cmdallow.
5. Confirme que os clientes estão realmente usando o servidor: chronyc clients (executado como root) mostra a lista de clientes que acessaram o servidor pela porta NTP, de comando ou NTS-KE, com a contagem de requisições por cliente.
6. Para clientes em uma rede não confiável, considere o Network Time Security (NTS, chrony 4.0 e posterior) em vez de uma chave simétrica pré-compartilhada por cliente: aponte ntsservercert e ntsserverkey para um certificado PEM e uma chave legíveis pelo chronyd, abra a TCP 4460 (NTS-KE) além da UDP 123 e adicione a opção nts às linhas server dos clientes.

Resultado esperado

chronyc clients lista os hosts da LAN que consultam o servidor; a saída de tracking de um cliente mostra este host como sua fonte; requisições de fora da sub-rede permitida não recebem resposta.

Limites e base de verificação

allow sem argumento de sub-rede, ou allow all, abre o serviço para tudo o que o firewall permitir — restrinja-o explicitamente. Um stratum local faz o servidor parecer sincronizado para os clientes mesmo durante uma queda real das fontes upstream; use-o apenas onde essa troca for intencional. Uma reinicialização preserva o arquivo de drift, então o relógio se recupera rapidamente, mas verifique com chronyc clients em vez de presumir que a reinicialização por si só foi bem-sucedida.