Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Configurazione

NTP su FPR 41xx/9300

NTP su FPR 1xxx/2100

Configurazione dell'NTP sugli accessori FPR 1xxx/2100/41xx/9300

Verifica

Verifica della sincronizzazione NTP sugli accessori FPR41xx/9300

Verifica della configurazione NTP sugli accessori FPR41xx/9300

Verifica della sincronizzazione NTP tra MIO e il dispositivo logico (blade) sui dispositivi FPR41xx/9300

Verifica della configurazione NTP sugli accessori FPR1xxx/2100

Risoluzione dei problemi comuni

1. FXOS non è in grado di risolvere il nome host del server NTP

2. Problemi di connettività tra FXOS - Server NTP sulla porta UDP 123

3. Problemi di connettività intermittente tra FXOS e server NTP

Difetti correlati

Informazioni correlate

Introduzione

In questo documento viene descritto come configurare, verificare e risolvere i problemi relativi al protocollo NTP (Network Time Protocol) sugli accessori Firepower FXOS.

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

- FPR4140 con FXOS 2.3(1.130) e 2.8(1.105)

- FPR2110 con modalità piattaforma ASA

- FPR1140 con modalità appliance ASA

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Su Firepower, il funzionamento NTP dipende dalla piattaforma.

FPR41xx/FPR9300

Il tempo ASA o FTD viene ricavato da MIO (Management Input/Output) di Firepower Chassis Manager (FCM) dello chassis. MIO è il supervisore dello chassis Firepower.

FPR1xxx/FPR2100

Nel caso dell'FTD, il tempo è preso dal CCP:

Per questa distribuzione, controllare i seguenti documenti:

- Configurazione della sincronizzazione dell'ora NTP per la difesa dalle minacce

- Risoluzione dei problemi con Network Time Protocol (NTP) sui sistemi Firepower

Ulteriori informazioni

Il protocollo NTP viene utilizzato per la sincronizzazione dell'ora. NTP utilizza come trasporto il numero di porta UDP 123.

Versioni NTP supportate su FXOS:

- FXOS 10.2.2.7 e versioni successive utilizzano NTP versione 3

- I sistemi operativi FXOS precedenti alla versione 10.2.2.7 utilizzano NTP versione 2

Versione supportata modificata a causa dell'ID bug Cisco CSCve58269 - NTP: modificare v2 in v3

Nota: NTP versione 4 non è ufficialmente supportato. NTP versione 4 è compatibile con NTP versione 3.

Configurazione

NTP su FPR 41xx/9300

Punti chiave

- Per configurare NTP su un accessorio Firepower 41xx/9300, accedere a FCM e selezionare la scheda Platform Settings (Impostazioni piattaforma).

- L'NTP sui dispositivi logici (ASA o FTD) è sincronizzato con l'MIO.

- Attualmente non è possibile sincronizzare NTP su FTD con Firepower Management Center (FMC), anche se si sceglie questa opzione, NTP su FTD è sincronizzato con MIO. È pertanto consigliabile che FMC e FCM utilizzino lo stesso server NTP.

- Il CCP non è un server NTP completo. Tramite sftunnel è possibile configurare le impostazioni di tempo per i dispositivi gestiti. Pertanto, non può essere utilizzato come server NTP per lo chassis Firepower 41xx/9300.

- Per una corretta installazione di Smart License è necessaria una configurazione NTP corretta.

NTP su FPR 1xxx/2100

- Per configurare il protocollo NTP su un accessorio Firepower 1xxx/2100, selezionare la scheda Platform Settings (Impostazioni piattaforma) in Firepower Chassis Manager (FCM), Firepower for ASA in modalità piattaforma.

- In caso di un'ASA in modalità piattaforma, l'NTP sul dispositivo logico è sincronizzato con l'MIO.

- Configurare le impostazioni NTP sull'applicazione logica stessa. L'ASA in modalità accessorio o in caso di gestione integrata FTD da Firepower Device Manager (FDM).

- Se l'FTD è gestito dall'FMC (gestione off-box), configurare l'NTP sul FMC.

Nota: nelle versioni successive alla 9.13(1), è possibile eseguire Firepower 1xxx/2100 per ASA nelle seguenti modalità: modalità accessorio (predefinita) e modalità piattaforma. La modalità accessorio consente di configurare tutte le impostazioni sull'appliance ASA, compresa la modalità NTP. Dalla CLI di FXOS sono disponibili solo comandi avanzati per la risoluzione dei problemi. D'altra parte, in modalità Piattaforma, è necessario configurare le impostazioni di base (incluso NTP) e le impostazioni dell'interfaccia hardware in Gestione chassis (FCM).

Configurazione dell'NTP sugli accessori FPR 1xxx/2100/41xx/9300

Passaggio 1. Accedere alla GUI di Firepower Chassis Manager con le credenziali utente Locale e selezionare Platform Settings > NTP. Selezionare il pulsante Add:

Passaggio 2. Specificare l'indirizzo IP o il nome host del server NTP (se si utilizza un nome host per il server NTP, è necessario configurare un server DNS).

Nota: è possibile configurare fino a 4 server NTP

Verifica

Verifica della sincronizzazione NTP sugli accessori FPR41xx/9300

Monitorare lo stato del server.

Riferimento stato server

- Non disponibile: lo stato predefinito viene visualizzato subito dopo la configurazione del server NTP.

- Non raggiungibile/Non valido: visualizzato in questi scenari:

- Quando l'indirizzo IP o il nome host del server NTP non è raggiungibile dal protocollo NTP.

- Quando l'indirizzo IP o il nome host del server NTP è raggiungibile, ma l'host remoto non è un server NTP.

- Altri errori interni, ad esempio quando l'esecuzione della query non riesce, eccezione generata, stato di sincronizzazione temporale non definito rilevato e così via.

- Sincronizzazione in corso. Il server è raggiungibile e supporta il protocollo NTP. La convergenza temporale iniziale è ancora in corso e non è stata ancora completata.

- Sincronizzato: l'host viene dichiarato come peer di sincronizzazione del sistema e l'orologio è sincronizzato con esso.

- Candidato: l'host è il peer candidato (in standby). Un server NTP candidato indica che si tratta di un server NTP valido che ha comunicato con l'appliance Firepower, ma il modulo è stato sincronizzato con un altro server NTP ed è quindi in standby. Può essere selezionato come peer successivo nella sincronizzazione se viene eliminato quello corrente.

- Outlier: un server NTP che viene scartato a causa di una grande differenza (scostamento di tempo e ritardo di andata e ritorno) rispetto agli altri server NTP.

Verifica della configurazione NTP sugli accessori FPR41xx/9300

Verificare lo stato peer NTP:

FPR4100-8-A# connect fxos

FPR4100-8-A(fxos)# show ntp peer-status

Total peers : 4

* - selected for sync, + -  peer mode(active),

- - peer mode(passive), = - polled in client mode

remote               local                 st   poll   reach delay

------------------------------------------------------------------------

=172.16.38.66           10.62.148.196           1 1024      17   0.20996

*172.31.201.67          10.62.148.196           1 1024     377   0.03035

=172.16.38.65           10.62.148.196           1 1024     377   0.19914

=172.31.20.115         10.62.148.196           1 1024     377   0.02905

Verificare la configurazione e la sincronizzazione del server NTP:

FPR4100-8-A# scope system

FPR4100-8-A /system # scope services

FPR4100-8-A /system/services # show ntp-server detail

NTP server hostname:

Name: 172.16.38.65Time Sync Status: Candidate

NTP SHA-1 key id: 0

Error Msg:

Name: 172.16.38.66

Time Sync Status: Time Sync In Progress

NTP SHA-1 key id: 0

Error Msg:

Name: 172.31.20.115

Time Sync Status: Candidate

NTP SHA-1 key id: 0

Error Msg:

Name: 172.31.201.67

Time Sync Status: Time Synchronized

NTP SHA-1 key id: 0

Error Msg:

Verificare l'associazione NTP:

FPR4100-8-A# connect module 1 console

Firepower-module1>show ntp association

remote           refid      st t when poll reach   delay   offset  jitter

==============================================================================

*203.0.113.126   172.31.201.67   2 u   39   64  370    0.070    0.445   0.210

ind assid status  conf reach auth condition  last_event cnt

===========================================================

1 16696  961a   yes   yes  none  sys.peer    sys_peer  1

associd=16696 status=961a conf, reach, sel_sys.peer, 1 event, sys_peer,

srcadr=203.0.113.126, srcport=123, dstadr=203.0.113.1, dstport=123,

leap=00, stratum=2, precision=-21, rootdelay=29.053, rootdisp=70.496,

refid=172.31.201.67,

reftime=e24d4bd9.3b680f6d  Fri, Apr 24 2020 11:28:25.232,

rec=e24d4d34.170bd724  Fri, Apr 24 2020 11:34:12.090, reach=370,

unreach=0, hmode=3, pmode=4, hpoll=6, ppoll=6, headway=0,

flash=20 pkt_stratum, keyid=0, offset=0.445, delay=0.070,

dispersion=2.152, jitter=0.210, xleave=0.017,

filtdelay=     0.08    0.11    0.08    0.10    0.07    0.08    0.09    0.07,

filtoffset=    0.17    0.18    0.29    0.29    0.45    0.45    0.69    0.69,

filtdisp=      0.00    0.03    0.99    1.02    2.03    2.06    3.03    3.06

associd=16696 status=961a conf, reach, sel_sys.peer, 1 event, sys_peer,

remote host:           203.0.113.126:123

local address:         203.0.113.1:123

time last received:    39

time until next send:  26

reachability change:   170025

packets sent:          5048

packets received:      5048

bad authentication:    0

bogus origin:          0

duplicate:             0

bad dispersion:        27

bad reference time:    0

Verificare le informazioni di sistema NTP:

FPR4100-8-A# connect module 1 console

Firepower-module1>show ntp sysinfo

associd=0 status=0615 leap_none, sync_ntp, 1 event, clock_sync,

version="ntpd 4.2.8p11@1.3728-o Sat Dec  8 06:11:47 UTC 2018 (2)",

processor="x86_64", system="Linux/3.10.62-ltsi-WR10.0.0.29_standard",

leap=00, stratum=3, precision=-24, rootdelay=29.129, rootdisp=24.276,

refid=203.0.113.126,

reftime=e24dd3bf.170a6210  Fri, Apr 24 2020 21:08:15.090,

clock=e24dd437.59b86104  Fri, Apr 24 2020 21:10:15.350, peer=16696, tc=6,

mintc=3, offset=0.009911, frequency=7.499, sys_jitter=0.023550,

clk_jitter=0.004, clk_wander=0.001

associd=0 status=0615 leap_none, sync_ntp, 1 event, clock_sync,

system peer:        203.0.113.126:123

system peer mode:   client

leap indicator:     00

stratum:            3

log2 precision:     -24

root delay:         29.129

root dispersion:    24.276

reference ID:       203.0.113.126

reference time:     e24dd3bf.170a6210  Fri, Apr 24 2020 21:08:15.090

system jitter:      0.023550

clock jitter:       0.004

clock wander:       0.001

broadcast delay:    -50.000

symm. auth. delay:  0.000

uptime:                 204908

sysstats reset:         204908

packets received:       19928

current version:        6069

older version:          0

bad length or format:   0

authentication failed:  0

declined:               0

restricted:             0

rate limited:           0

KoD responses:          0

processed for time:     6040

associd=0 status=0615 leap_none, sync_ntp, 1 event, clock_sync,

pll offset:            0.006196

pll frequency:         7.49899

maximum error:         0.097039

estimated error:       3e-06

kernel status:         pll nano

pll time constant:     6

precision:             1e-06

frequency tolerance:   500

pps frequency:         0

pps stability:         0

pps jitter:            0

calibration interval   0

calibration cycles:    0

jitter exceeded:       0

stability exceeded:    0

calibration errors:    0

time since reset:       204908

receive buffers:        10

free receive buffers:   9

used receive buffers:   0

low water refills:      1

dropped packets:        0

ignored packets:        0

received packets:       19930

packets sent:           26811

packet send failures:   0

input wakeups:          224931

useful input wakeups:   20034

Verifica della sincronizzazione NTP tra MIO e il dispositivo logico (blade) sui dispositivi FPR41xx/9300

Sugli FPR41xx/9300 le impostazioni NTP vengono trasferite su FTD tramite MIO (chassis). La configurazione NTP dalla CLI FTD o dall'interfaccia utente FMC non è possibile.

Ogni blade FTD utilizza un ID riferimento interno: 203.0.113.126 per comunicare con l'MIO per la sincronizzazione temporale e, in base a tale ID, indica se è sincronizzato o meno. L'FTD CLI riflette questo. Nell'esempio, l'IP NTP è l'ID di riferimento interno e non l'IP effettivo del server NTP. Una modifica dell'indirizzo IP del server NTP in FCM non influisce su questo output poiché l'ID di riferimento è sempre lo stesso:

> show ntp

NTP Server                : 203.0.113.126

Status                    : Being Used

Offset                    : -0.078 (milliseconds)

Last Update               : 43 (seconds)

Verifica della configurazione NTP sugli accessori FPR1xxx/2100

Attenzione: questa condizione si applica solo agli accessori FPR1xxx/2100 per ASA in modalità piattaforma.

firepower-2140# scope system

firepower-2140 /system # scope services

firepower-2140 /system/services # show ntp-server detail

NTP server hostname:

Name: 172.31.201.67

Time Sync Status: Time Synchronized

Error Msg:

Name: ntp.esl.cisco.com

Time Sync Status: Candidate

Error Msg:

Risoluzione dei problemi comuni

1. FXOS non è in grado di risolvere il nome host del server NTP

L'interfaccia utente di FCM mostra:

Azione consigliata

Utilizzare il comando ping per verificare la risoluzione dei nomi host del server NTP

KSEC-FPR4100-8-A(local-mgmt)# ping ntp.esl.cisco.com

Invalid Host Name.

Possibili cause

- Server DNS non configurato.

- Il server DNS non è in grado di risolvere il nome host.

2. Problemi di connettività tra FXOS - Server NTP sulla porta UDP 123

L'interfaccia utente di FCM mostra:

Azione consigliata

Attenzione: l'acquisizione di Ethanalyzer sull'interfaccia di gestione dello chassis è disponibile solo sugli accessori FPR41xx/9300.

Acquisire immagini sull'interfaccia di gestione dello chassis e verificare la comunicazione bidirezionale sulla porta UDP 123:

KSEC- FPR4100-8-A(fxos)# ethanalyzer local interface mgmt capture-filter "udp port 123"

Capturing on 'eth0'

1 2020-04-30 20:09:54.150237760 10.62.148.196 → 172.16.4.161 NTP 90 NTP Version 3, client

2 2020-04-30 20:14:14.150172804 10.62.148.196 → 172.16.4.161 NTP 90 NTP Version 3, client

3 2020-04-30 20:23:13.150171682 10.62.148.196 → 172.16.4.161 NTP 90 NTP Version 3, client

Possibili cause

- Il server configurato non è un server NTP.

- Un dispositivo nel percorso, ad esempio un firewall, blocca o modifica il traffico.

3. Problemi di connettività intermittente tra FXOS e server NTP

L'interfaccia utente di FCM mostra:

Azioni consigliate

Attenzione: solo per accessori FPR41xx/9300.

Avviare il processo di sincronizzazione NTP dalla CLI di FXOS

FPR4100-8-A# connect fxos

FPR4100-8-A(fxos)# ntp sync-retry

Acquisizione di immagini sull'interfaccia di gestione dello chassis con lo strumento di comando ethanalyzer CLI.

Possibile causa

- Problemi intermittenti di connettività tra FXOS e server NTP

Difetti correlati

Consultare le Note sulla versione per individuare eventuali difetti noti/corretti.

Informazioni correlate

- Guide alla configurazione di FXOS

- Risoluzione dei problemi con Network Time Protocol (NTP) sui sistemi Firepower