京准电钟：GPS卫星时钟服务器应用部署方案
京准电钟：GPS卫星时钟服务器应用部署方案京准电钟：GPS卫星时钟服务器应用部署方案
京准电子科技官微——ahjzsz
项目概述
1.1应用配景
根据人民银行第2012年第8期《金融业信息安全风险提示》建议大力推广接纳能够吸取GPS和北斗时钟源信号的国产时钟同步服务器产品，淘汰现有GPS产品对生产系统运行的安全隐患，从而保证业务的一致性和完备性。
1.2 时钟源选择
1.2.1环球定位系统（GPS）Global Positioning System
美国国防部建立的高精度环球卫星无线电导航系统。至少有24颗卫星分布在6个固定平面上围绕地球旋转，卫星高度20200km,旋转周期为11小时58分。地球上的用户在任一时刻都可同时收到4颗以上卫星，确定自己的位置。星上备有铯原子钟和铷原子钟。钟的时间每天由地面监测，并给出相对标准时间UTC(或GPS时间)的偏差。偏差值保持小于20ns，用户可以从收到的导航电文中得到标准时间信息校准本地时钟。
1.2.2北斗卫星导航系统BeiDou（COMPASS）Navigation Satellite System
北斗卫星导航系统空间段由5颗静止轨道卫星和30颗非静止轨道卫星组成，中国计划2012年，“北斗”系统覆盖亚太地域，2020年左右将覆盖环球。中国正在实行北斗卫星导航系统建设，已成功发射十六颗北斗导航卫星。根据系统建设总体规划，2012年左右，系统将首先具备覆盖亚太地域的定位、导航和授时以及短报文通佩服务能力。2020年左右，建成覆盖环球的北斗卫星导航系统。现在北斗芯片授时精度30纳秒。
1.2.3原子频标 atomic frequency standard
现代标准时间源是原子钟。原子钟是原子频率的简称，是根据原子物理学和量子力学原理制造的高准确度和高稳固度的振荡器。物理原理是原子跃迁频率只取决于其内部特征而与外界电磁场无关，可以利用量子跃迁实现频率控制。因为原子钟振荡频率存在着系统的和随机误差，人们通常接纳一组原子钟，用统计方法构成一个“均匀原子钟”，取得原子时。现在国际原子时由50多个原子钟计算得到。铯原子钟有很高的准确度，稳固度和匀称度，准确度达到±3E-15，恒久稳固度±2E-15，因此成为现代最高标准时间源，但成本昂贵，铷原子钟稳固性与铯原子钟比较稍差，但是成本低，通过特有频率测控算法用北斗校正铷原子钟精度可以达到小铯钟效果，二者共同使用可以发挥最佳功效，HR系列产品就可以集成GPS吸取机和铷原子振荡器的一款高性能的NTP网络时间服务器产品。北斗效正后的铷原子钟24小时偏差200纳秒。准确度达到1E-12. 下图为常见时钟源的稳固度：
https://img2024.cnblogs.com/blog/1986995/202410/1986995-20241014091424700-543350390.jpg
1.3稳固性及高可靠性保障
1.3.1 可靠性高
高性能工业级服务器主板，嵌入式Linux操作系统，MTBF可达80000小时
支持slew方式慢慢调解，每秒调解为0.5ms，不会产生较大时间跳变。
1.3.2安全性高
具有6个独立的10/100/1000M自适应网口，其中网口0支持http、dhcp、snmp、ssh（telnet）、NTP等管理以及授时协议，网口1、2、3、4、5只支持NTP授时协议，从而制止可能的攻击。
授时协议支持MD5密钥和证书加密协议，可以提供可靠的授时信息。
1.3．3软件监控功能强大
NTPM软件能支持服务器运行状态（同步状态、偏差超限、层次改变、访问超时等）监视、NTP客户端访问状态（端口、次数、偏差、均匀时间、检索等功能）监视、NTP告警参数及消息发送（Email，Syslog和SNMP方式）方式设置、NTP监控日志查询等功能。
1.3.4功能完善
支持心跳检测功能，两台装备网卡可设为同一IP，互为冗余备份
支持Bonding功能，同一装备四网卡可设为同一IP，单机即可实现网卡故障备份
支持日志服务器功能
1.3.5容量大
NTP请求量可达14000次/秒，假设网络装备1分钟同步一次，则网络可以容纳84万台装备举行同步,完全满足任何系统的需要；
1.3.6机动易用，显示信息丰富
直观的Web界面及NTPM管理软件，可以轻松实现远程网络登录、管理、配置和维护，支持SNMP网管功能
高亮度VFD液晶轮循GPS收星状态、时间、GPS卫星个数、经纬度、高度、各网卡IP、系统工作状态
三色指示灯显示NTP服务是否启动、网络连接是否正常、NTP请求是否超过8000次/秒和GPS是否锁定等信息
2.7接口多
6个NTP网络授时口、1个Console设置口、2个1PPS、1个USB备份、升级、存取日志口、2个DB-9 TOD时间输出口、3个干接点报警接口
https://img2024.cnblogs.com/blog/1986995/202410/1986995-20241014091439402-1844429109.jpg
1.4风险控制
1.4．1时间参考源安全隐患
时间服务器参考源来源于GPS、北斗卫星系统，存在一定的安全隐患，如发生战争或人为接纳卫星模仿器举行干扰。
应对措施
[*]NTPM监控软件在第一时间可以发现并告警时间服务器时间厘革情况。
[*]时钟服务器接纳主从布局设计，主时钟放置在机房独立走时（1年偏差3毫秒以内），操作人员可定期通过手持校准单位对主时钟举行检测，如发现偏差过大再举行校准操作，周期时间对时可以消除累计误差。制止了可能存在的卫星信号干扰，及架设室外天线防雷的安全隐患。
1.4．2授时服务软件异常题目
应对措施
NTPM监控软件在第一时间可以发现并告警相应异常。
1.4．3时间跳变题目
当出现异常情况下，某一台时间服务器提供的时间发生跳变。
应对措施
[*]NTPM监控软件在第一时间可以发现并告警时间服务器时间跳变情况。
[*]时间服务器接纳冗余配置模式，只有当两台服务器时间一致时，标准NTP客户端才确认并完成时间同步。
NTP协议支持微调（slew）同步模式，接纳slew方式慢慢调解，每秒调解为0.5ms，不会产生大的时间跳变。
1.4．4时间异步题目
NTP时间服务器接入网络后，已有客户端运行敏感应用，不能停止运行，系统时间和NTP服务器不一致。
应对措施
[*]NTPM监控软件在第一时间可以告警客户端时间偏差。
NTP协议支持微调（slew）同步模式，对时间敏感的应用而且应用不能停止，则接纳slew方式慢慢调解，每秒调解为0.5ms，不会产生大的时间跳变。
1.4．5装备故障题目
两台时间服务器，其中一台发生硬件故障。
应对措施
[*]HR-901GB装备支持心跳检测功能，两台装备网卡可设为同一IP，互为冗余备份，当主机发生故障无缝切换至备机工作。
[*]HR-901GB装备共6个网卡，可支持接纳bonding模式，设置网卡互为冗余备份，当主用网卡或网络发生故障，直接切换到备网卡或备用网络工作。
1.4．6恶意攻击题目
恶意攻击者从外部网络通过NTP攻击内网服务器，并获取管理员密码，并修改服务器时间和配置。
应对措施
[*]HR-901GB具有6个独立的10/100/1000M/万兆自适应网口，可以配置网络出入口的防火墙和NTP服务器自身的防火墙规则，配置网口1为内网端口，支持http、snmp、ssh（telnet）、NTP等管理以及授时协议，配置网口2、3、4、5、6仅开放123端口支持NTP授时协议，从而制止可能的攻击。
[*]HR-901GB授时服务器接纳嵌入式linux操作系统，接纳类UNIX的安全认证机制，保障服务器的安全可靠。
1.4．7 NTP模仿攻击题目
恶意攻击者模仿NTP协议包，攻击授时客户端，造成客户端时间杂乱。
应对措施
[*]客户端均使用标准NTP服务举行授时，按后续安全设置实行。
[*]HR-901GB授时服务支持MD5密钥，通过密钥举行敌我识别，举行可靠的授时服务。
HR-901GB授时服务支持RSA非对称加密协议，通过证书举行敌我识别，举行可靠的授时服务。
1.4．8 误差校正题目
系统中的客户端与NTP服务器偏差过大，接纳NTP服务时，偏差超过1000秒后不举行校时。
应对措施
NTPM监控软件在第一时间可以告警客户端时间偏差，使用人工方式调解系统时间，使客户端时间满足同步要求或通过下令设置超过1000秒也可同步。
1.4．9 病毒题目
计算机病毒感染服务器操作系统和应用软件。
应对措施
HR-901GB授时服务器接纳嵌入式linux操作系统，现在没有发现可以感染该系统的病毒，可放心使用。
1.5部署范围
需求范围包括北京总部集团和上海分部所有生产装备。在北京和上海分别部署一级和二级时钟服务系统，为我集团所有节点的网络系统、计算机系统、业务和运维系统提供统一、精确的时间基准服务。
2.项目部署
项目标部署网络拓扑布局如图所示。
https://img2024.cnblogs.com/blog/1986995/202410/1986995-20241014091544561-1745511835.jpg
本项目需要配备1台HR-901GB一级时钟服务器和1台HR-901GBOCXO二级时间服务器，分别部署在北京和上海数据中心。一级时钟装备架设一套北斗/GPS双模天线。HR-901GB NTP网络时间服务器配有GPS/北斗二代吸取装置及高性能铷原子钟，选择北斗作为恒久稳固的授时时间源，在北斗时钟源失锁或断网的情况下，铷原子钟作为守时时间源，（下令可设置仅使用GPS授时、仅使用北斗授时、使用GPS和北斗联合授时，本系统将设置成仅使用北斗授时）。上海二级时钟服务器通过网络定期向一级时钟服务器同步。采购的时钟同步服务器的北斗单向授时精度需优于30纳秒，客户终端同步授时精度需小于0.5-2ms,可提供专业的客户端监控工具，用于监控北京数据中心和上海数据中心的所有客户端时间同步的运行情况。
规划NTP时间服务器名及各网段的IP地点如下表所示，使用ipset下令修改各个网口IP地点及子网掩码，并在脚背S27route脚本中配置各个网口的网关及默认网关后，重启服务器，待北斗GPS天线锁定后，即可对外提供授时服务。
服务器
部署位置
网络配置
NTP-SERVER
新数据
中心机房
Eth0：10.0.0.252/24 gw: 10.0.0.254
Eth1：11.0.0.252/24 gw: 11.0.0.254
Eth2：12.0.0.252/24 gw: 12.0.0.254
Eth3：13.0.0.252/24 gw: 13.0.0.254
Eth4：14.0.0.252/24 gw: 14.0.0.254
Eth5：15.0.0.252/24 gw: 15.0.0.254
注：以上IP及网络配置需根据现实网络地点修改
2．1实行方案
建议Windows 服务器均安装NTPC标准NTP服务同步软件， AIX、Soloaris、HP-UNIX等UNIX 和Linux系统使用系统自带的NTP服务。其他pc终端可以接纳系统自带的同步服务举行授时，或使用北斗邦泰研发的sntpc举行授时。具体配置如下。
5.3.11客户端配置
新数据中心部署的HR-901GB NTP网络服务器，需要同步的客户端，配置文件如下（/etc/ntp.conf）：
server server minpoll 4 maxpoll 4 prefer
driftfile /var/drift
logconfig =clockevents +syncevents +sysevents +clockall +syncall +sysall
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]