Zapora blokuje serwer NTP

Zapora blokująca serwer NTP wskazuje na regułę ograniczającą port UDP 123 wymagany do synchronizacji czasu systemowego.

Rola NTP w utrzymaniu prawidłowego czasu systemowego

NTP, czyli Network Time Protocol, służy do uzgadniania zegara komputera z zegarem serwera czasu. W typowej konfiguracji komputer wysyła zapytanie do wskazanego serwera NTP i oczekuje odpowiedzi zawierającej informacje potrzebne do obliczenia różnicy czasu oraz opóźnienia transmisji. Standardowym portem usługi NTP jest UDP 123. Gdy zapora sieciowa odrzuca ruch wychodzący na ten port, system może nie uzyskać aktualnego czasu mimo poprawnego połączenia z internetem.

Synchronizacja czasu wpływa na znaczniki daty w plikach, kolejność zdarzeń w logach, działanie zadań harmonogramu oraz ocenę ważności certyfikatów TLS. Zbyt duża różnica między zegarem komputera a rzeczywistym czasem może również powodować błędy logowania, problemy z aktualizacjami i nieprawidłowe wyświetlanie terminów. Sam komunikat o blokadzie serwera NTP nie oznacza jeszcze awarii podzespołu. Najczęściej wskazuje na ograniczenie komunikacji przez zaporę systemową, program zabezpieczający albo urządzenie sieciowe.

Jak rozpoznać blokadę UDP 123

Diagnozę należy rozpocząć od ustalenia, czy problem dotyczy samej synchronizacji, czy szerszego dostępu do sieci. W systemie Windows można sprawdzić stan usługi czasu poleceniem w32tm /query /status, a konfigurację źródła czasu poleceniem w32tm /query /configuration. Polecenie w32tm /resync inicjuje ponowną próbę synchronizacji, lecz nie usunie blokady zapory. Jeżeli pojawi się błąd wskazujący na brak danych czasu albo niedostępność źródła, trzeba porównać go z regułami zapory i dziennikiem zdarzeń.

Warto sprawdzić, jaki serwer czasu jest skonfigurowany, czy jego nazwa rozwiązuje się przez DNS oraz czy komputer korzysta z właściwego profilu sieciowego. Reguła może obowiązywać tylko dla sieci publicznej, prywatnej albo domenowej. Zapora może też przepuszczać ruch do jednego adresu, a blokować inny, jeśli konfiguracja odwołuje się do nazwy DNS zmieniającej adresy. Test połączenia poleceniem ping nie potwierdza dostępności NTP, ponieważ ping używa protokołu ICMP, a synchronizacja czasu wykorzystuje przede wszystkim UDP 123. Brak odpowiedzi na ping nie dowodzi więc blokady NTP, podobnie jak odpowiedź na ping nie dowodzi, że zapytania NTP docierają do celu.

Reguła zapory a bezpieczne przywrócenie synchronizacji

Reguła potrzebna do synchronizacji powinna zezwalać na wymagany ruch UDP 123 w kierunku od komputera do wybranego serwera czasu. Nie należy bez potrzeby otwierać wszystkich portów ani zezwalać na dowolny ruch przychodzący. W zaporze systemu Windows trzeba sprawdzić reguły dla usługi czasu oraz ich powiązanie z profilem sieciowym. Jeżeli reguła została utworzona przez zewnętrzny pakiet bezpieczeństwa, zmiana ustawień samej Zapory systemu Windows może nie wystarczyć.

Po modyfikacji reguły należy ponowić synchronizację i sprawdzić aktualny status. Pomocne jest także przejrzenie logów zapory, ponieważ mogą wskazać kierunek ruchu, adres docelowy, zastosowaną regułę oraz przyczynę odrzucenia pakietu. Gdy problem występuje tylko w jednej sieci, ograniczenie może znajdować się na routerze lub w sieci dostawcy internetu, a nie na komputerze. Jeżeli zapora zezwala na UDP 123, lecz odpowiedzi nadal nie wracają, trzeba sprawdzić serwer NTP, DNS, ustawienia daty i strefy czasowej oraz ewentualne filtrowanie ruchu przez urządzenie sieciowe.

Diagnostyka konfiguracji czasu w serwisowanym komputerze

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z konfiguracją systemu, siecią oraz zaporą. W przypadku komunikatu „Zapora blokuje serwer NTP” sprawdzany jest rzeczywisty zakres blokady, ustawione źródło czasu, status usługi odpowiedzialnej za synchronizację oraz wpływ programów zabezpieczających. Pozwala to odróżnić błąd reguły sieciowej od problemu z DNS, nieprawidłową konfiguracją systemu albo niedostępnością konkretnego serwera czasu.

Przywrócenie synchronizacji powinno obejmować wyłącznie zmiany potrzebne do prawidłowej pracy komputera. Po wykonaniu korekty sprawdza się, czy zegar otrzymuje aktualne dane, czy usługa czasu działa po ponownym uruchomieniu systemu oraz czy reguła zapory pozostaje aktywna dla używanego profilu sieciowego. Jeżeli zmiana ustawień bezpieczeństwa nie rozwiązuje problemu, dalsza diagnostyka może objąć router, DNS i sposób filtrowania ruchu w danej sieci.