はじめに
このドキュメントでは、Firepower FXOSアプライアンスでNetwork Time Protocol(NTP)を設定、確認、およびトラブルシューティングする方法について説明します。
前提条件
要件
このドキュメントに関する固有の要件はありません。
使用するコンポーネント
- FXOS 2.3(1.130)および2.8(1.105)が稼働するFPR4140
- ASAプラットフォームモードで稼働するFPR2110
- ASAアプライアンスモードで稼働するFPR1140
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな(デフォルト)設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
背景説明
Firepowerでは、NTPの動作はプラットフォームによって異なります。
FPR41xx/FPR9300
ASAまたはFTDの時間は、シャーシFirepower Chassis Manager(FCM)Management Input/Output(MIO)から取得されます。MIOはFirepowerシャーシのスーパーバイザです。
FPR1xxx/FPR2100
FTDでは、時刻はFMCから取得されます。
この導入では、次のドキュメントを確認してください。
追加情報
NTPは時刻の同期に使用されます。NTPはトランスポートとしてUDPポート番号123を使用します。
FXOSでサポートされるNTPバージョン:
- FXOS 10.2.2.7以降ではNTPバージョン3を使用
- 10.2.2.7より古いFXOSはNTPバージョン2を使用します
Cisco Bug ID CSCve58269 - NTP:v2をv3に変更したため、サポート対象バージョンが変更されました。
注:NTPバージョン4は正式にはサポートされていません。NTPバージョン4は、NTPバージョン3と下位互換性があります。
設定
FPR 41xx/9300のNTP
要点
- Firepower 41xx/9300アプライアンスでNTPを設定するには、FCMにログインしてプラットフォーム設定タブに移動します。
- 論理デバイス(ASAまたはFTD)のNTPがMIOと同期されます。
- 現在、FTDのNTPをFirepower Management Center(FMC)と同期することはできません。このオプションを選択した場合でも、FTDのNTPはMIOと同期されます。したがって、FMCとFCMでは同じNTPサーバを使用することを強く推奨します。
- FMCはフルブーンのNTPサーバではありません。sftunnel経由で管理対象デバイスに時間設定を提供するだけです。したがって、Firepower 41xx/9300シャーシのNTPサーバとしては使用できません。
- スマートライセンスを正常にインストールするには、適切なNTP設定が必要です。
FPR 1xxx/2100のNTP
- Firepower 1xxx/2100アプライアンスでNTPを設定するには、Firepower Chassis Manager(FCM)、プラットフォームモードのASAのFirepowerからプラットフォーム設定タブに移動します。
- プラットフォームモードのASAの場合、論理デバイスのNTPはMIOと同期されます。
- 論理アプリケーション自体でNTP設定を行います。アプライアンスモードのASA、またはFTDオンボックス管理の場合はFirepower Device Manager(FDM)からASAを起動します。
- FTDがFMCで管理されている場合(オフボックス管理)、FMCでNTPを設定します。
注:9.13(1)以降のバージョンでは、Firepower 1xxx/2100 for ASAをアプライアンスモード(デフォルト)とプラットフォームモードで実行できます。アプライアンスモードでは、ASA上のNTPを含むすべての設定を構成できます。FXOS CLIから使用できるのは、高度なトラブルシューティングコマンドだけです。一方、プラットフォームモードでは、Chassis Manager(FCM)で基本設定(NTPを含む)とハードウェアインターフェイス設定を行う必要があります。
FPR 1xxx/2100/41xx/9300アプライアンスでのNTPの設定
手順 1:ローカルユーザクレデンシャルを使用してFirepower Chassis Manager GUIにログインし、プラットフォーム設定> NTPに移動します。Addボタンを選択します。
ステップ 2:NTPサーバのIPアドレスまたはホスト名を指定します(NTPサーバのホスト名を使用する場合は、DNSサーバを設定する必要があります)。
注:最大4つのNTPサーバを設定できます
確認
FPR41xx/9300アプライアンスでのNTP同期の確認
サーバのステータスを監視します。
サーバステータスの参照
- Not available:NTPサーバ設定の直後に表示されるデフォルトステータス。
- 到達不能/無効:次のシナリオで表示されます。
- NTPサーバのIPアドレスまたはホスト名がNTPプロトコルによって到達不能な場合。
- NTPサーバのIPアドレスまたはホスト名に到達できるが、リモートホストがNTPサーバではない場合。
- クエリの実行に失敗した場合、例外がスローされた場合、未定義の時刻の同期ステータスが発生した場合など、その他の内部障害。
- 同期中:サーバは到達可能で、NTPプロトコルをサポートしています。初期タイムコンバージェンスはまだ進行中で、まだ完了していません。
- Synchronized:ホストはシステム同期ピアとして宣言され、タイムクロックはそのホストと同期しています。
- Candidate:ホストは(スタンバイ)ピアの候補です。NTPサーバ候補とは、それが有効なサーバであり、Firepowerアプライアンスと正常に通信できるものの、モジュールが別のNTPサーバと同期されているため、スタンバイNTPサーバであることを意味します。現在の同期ピアが削除されると、次の同期ピアとして選択できます。
- アウトライア:他のNTPサーバと大きな違い(タイムオフセットとラウンドトリップ遅延)があるため廃棄されるNTPサーバ。
FPR41xx/9300アプライアンスでのNTP設定の確認
NTPピアのステータスを確認します。
FPR4100-8-A# connect fxos
FPR4100-8-A(fxos)# show ntp peer-status
Total peers : 4
* - selected for sync, + - peer mode(active),
- - peer mode(passive), = - polled in client mode
remote local st poll reach delay
------------------------------------------------------------------------
=172.16.38.66 10.62.148.196 1 1024 17 0.20996
*172.31.201.67 10.62.148.196 1 1024 377 0.03035
=172.16.38.65 10.62.148.196 1 1024 377 0.19914
=172.31.20.115 10.62.148.196 1 1024 377 0.02905
NTPサーバの設定と同期を確認します。
FPR4100-8-A# scope system
FPR4100-8-A /system # scope services
FPR4100-8-A /system/services # show ntp-server detail
NTP server hostname:
Name: 172.16.38.65Time Sync Status: Candidate
NTP SHA-1 key id: 0
Error Msg:
Name: 172.16.38.66
Time Sync Status: Time Sync In Progress
NTP SHA-1 key id: 0
Error Msg:
Name: 172.31.20.115
Time Sync Status: Candidate
NTP SHA-1 key id: 0
Error Msg:
Name: 172.31.201.67
Time Sync Status: Time Synchronized
NTP SHA-1 key id: 0
Error Msg:
NTPアソシエーションを確認します。
FPR4100-8-A# connect module 1 console
Firepower-module1>show ntp association
remote refid st t when poll reach delay offset jitter
==============================================================================
*203.0.113.126 172.31.201.67 2 u 39 64 370 0.070 0.445 0.210
ind assid status conf reach auth condition last_event cnt
===========================================================
1 16696 961a yes yes none sys.peer sys_peer 1
associd=16696 status=961a conf, reach, sel_sys.peer, 1 event, sys_peer,
srcadr=203.0.113.126, srcport=123, dstadr=203.0.113.1, dstport=123,
leap=00, stratum=2, precision=-21, rootdelay=29.053, rootdisp=70.496,
refid=172.31.201.67,
reftime=e24d4bd9.3b680f6d Fri, Apr 24 2020 11:28:25.232,
rec=e24d4d34.170bd724 Fri, Apr 24 2020 11:34:12.090, reach=370,
unreach=0, hmode=3, pmode=4, hpoll=6, ppoll=6, headway=0,
flash=20 pkt_stratum, keyid=0, offset=0.445, delay=0.070,
dispersion=2.152, jitter=0.210, xleave=0.017,
filtdelay= 0.08 0.11 0.08 0.10 0.07 0.08 0.09 0.07,
filtoffset= 0.17 0.18 0.29 0.29 0.45 0.45 0.69 0.69,
filtdisp= 0.00 0.03 0.99 1.02 2.03 2.06 3.03 3.06
associd=16696 status=961a conf, reach, sel_sys.peer, 1 event, sys_peer,
remote host: 203.0.113.126:123
local address: 203.0.113.1:123
time last received: 39
time until next send: 26
reachability change: 170025
packets sent: 5048
packets received: 5048
bad authentication: 0
bogus origin: 0
duplicate: 0
bad dispersion: 27
bad reference time: 0
NTPのsysinfoを確認します。
FPR4100-8-A# connect module 1 console
Firepower-module1>show ntp sysinfo
associd=0 status=0615 leap_none, sync_ntp, 1 event, clock_sync,
version="ntpd 4.2.8p11@1.3728-o Sat Dec 8 06:11:47 UTC 2018 (2)",
processor="x86_64", system="Linux/3.10.62-ltsi-WR10.0.0.29_standard",
leap=00, stratum=3, precision=-24, rootdelay=29.129, rootdisp=24.276,
refid=203.0.113.126,
reftime=e24dd3bf.170a6210 Fri, Apr 24 2020 21:08:15.090,
clock=e24dd437.59b86104 Fri, Apr 24 2020 21:10:15.350, peer=16696, tc=6,
mintc=3, offset=0.009911, frequency=7.499, sys_jitter=0.023550,
clk_jitter=0.004, clk_wander=0.001
associd=0 status=0615 leap_none, sync_ntp, 1 event, clock_sync,
system peer: 203.0.113.126:123
system peer mode: client
leap indicator: 00
stratum: 3
log2 precision: -24
root delay: 29.129
root dispersion: 24.276
reference ID: 203.0.113.126
reference time: e24dd3bf.170a6210 Fri, Apr 24 2020 21:08:15.090
system jitter: 0.023550
clock jitter: 0.004
clock wander: 0.001
broadcast delay: -50.000
symm. auth. delay: 0.000
uptime: 204908
sysstats reset: 204908
packets received: 19928
current version: 6069
older version: 0
bad length or format: 0
authentication failed: 0
declined: 0
restricted: 0
rate limited: 0
KoD responses: 0
processed for time: 6040
associd=0 status=0615 leap_none, sync_ntp, 1 event, clock_sync,
pll offset: 0.006196
pll frequency: 7.49899
maximum error: 0.097039
estimated error: 3e-06
kernel status: pll nano
pll time constant: 6
precision: 1e-06
frequency tolerance: 500
pps frequency: 0
pps stability: 0
pps jitter: 0
calibration interval 0
calibration cycles: 0
jitter exceeded: 0
stability exceeded: 0
calibration errors: 0
time since reset: 204908
receive buffers: 10
free receive buffers: 9
used receive buffers: 0
low water refills: 1
dropped packets: 0
ignored packets: 0
received packets: 19930
packets sent: 26811
packet send failures: 0
input wakeups: 224931
useful input wakeups: 20034
FPR41xx/9300アプライアンスでのMIOと論理デバイス(ブレード)間のNTP同期の確認
FPR41xx/9300では、NTP設定はMIO(シャーシ)経由でFTDにプッシュされます。FTD CLIまたはFMC UIからのNTP設定はできません。
各FTDブレードは、内部参照ID 203.0.113.126を使用してMIOと通信し、時刻を同期し、これに基づいて同期されているかどうかを示します。FTD CLIにはこれが反映されます。この例のNTP IPは、実際のNTPサーバIPではなく、内部参照IDです。FCMのNTPサーバIPを変更しても、reference-idは常に同じであるため、この出力には影響しません。
> show ntp
NTP Server : 203.0.113.126
Status : Being Used
Offset : -0.078 (milliseconds)
Last Update : 43 (seconds)
FPR1xxx/2100アプライアンスでのNTP設定の確認
注意:これは、プラットフォームモードのASA用のFPR1xxx/2100アプライアンスにのみ適用されます。
firepower-2140# scope system
firepower-2140 /system # scope services
firepower-2140 /system/services # show ntp-server detail
NTP server hostname:
Name: 172.31.201.67
Time Sync Status: Time Synchronized
Error Msg:
Name: ntp.esl.cisco.com
Time Sync Status: Candidate
Error Msg:
一般的な問題のトラブルシューティング
1. FXOSがNTPサーバホスト名を解決できない
FCM UIには次のように表示されます。
推奨処置
pingコマンドを使用して、NTPサーバのホスト名解決を確認します
KSEC-FPR4100-8-A(local-mgmt)# ping ntp.esl.cisco.com
Invalid Host Name.
考えられる原因
- DNSサーバが設定されていません。
- DNSサーバがホスト名を解決できません。
2. FXOSとUDPポート123のNTPサーバ間の接続の問題
FCM UIには次のように表示されます。
推奨処置
注意:シャーシ管理インターフェイスでのEthanalyzerキャプチャは、FPR41xx/9300アプライアンスでのみ使用できます。
シャーシ管理インターフェイスでキャプチャを取得し、UDPポート123での双方向通信を確認します。
KSEC- FPR4100-8-A(fxos)# ethanalyzer local interface mgmt capture-filter "udp port 123"
Capturing on 'eth0'
1 2020-04-30 20:09:54.150237760 10.62.148.196 → 172.16.4.161 NTP 90 NTP Version 3, client
2 2020-04-30 20:14:14.150172804 10.62.148.196 → 172.16.4.161 NTP 90 NTP Version 3, client
3 2020-04-30 20:23:13.150171682 10.62.148.196 → 172.16.4.161 NTP 90 NTP Version 3, client
考えられる原因
- 設定されたサーバはNTPサーバではありません。
- パス内のデバイス(ファイアウォールなど)は、トラフィックをブロックまたは変更します。
3. FXOSとNTPサーバ間の接続が断続する問題
FCM UIには次のように表示されます。
推奨される対処法
注意: FPR41xx/9300アプライアンスに対してのみ。
FXOS CLIからNTP同期プロセスを開始します
FPR4100-8-A# connect fxos
FPR4100-8-A(fxos)# ntp sync-retry
ethanalyzer CLIコマンドツールでシャーシ管理インターフェイスのキャプチャを取得します。
考えられる原因
関連する不具合
既知の問題と修正済みの不具合については、リリースノートを参照してください。
関連情報