大多数运维在配置时间同步时，只关心”时间准不准”，却很少追问”时间可不可信”。攻击者一旦篡改服务器时间，就能让 HTTPS 证书校验失效、让日志时间戳失真、甚至让基于时间的认证令牌提前过期。本文会教你如何用 NTS（Network Time Security，网络时间安全协议）加密和访问控制加固 chrony，帮助你识别并抵御时间欺骗与中间人攻击，让服务器时间既准确又可信。
为什么时间同步需要安全加固
传统 NTP（Network Time Protocol，网络时间协议）在设计时几乎没有考虑安全，时间报文以明文传输，也没有身份校验。这意味着在公网链路上，攻击者可以伪造 NTP 应答，把服务器时间悄悄拨快或拨慢。对依赖时间戳的日志分析、数据库事务、证书校验和定时任务来说，这种篡改足以造成严重后果。
更隐蔽的是，时间欺骗往往不会立刻暴露。服务器时间被拨慢几分钟，日志时间戳与真实事件对不上，排查问题时很难第一时间想到是时间被篡改。把时间同步纳入安全加固范围，是很多线上故障排查中容易被忽略的一环。如果你正在排查服务器稳定性问题，可以先从服务器配置与优化这个分类入手，时间安全往往是其中容易被忽略的一环。
NTS：为时间同步加上加密与认证
NTS 是 NTP 的现代安全扩展，由 RFC 8915 定义。它通过 TLS 握手协商密钥，再用这些密钥对 NTP 报文做认证，确保时间应答确实来自可信的时间源，且内容未被篡改。chrony 从 4.0 版本开始完整支持 NTS，是目前最容易落地的 NTS 客户端实现。
与传统的 NTP 认证（对称密钥）相比，NTS 有两个明显优势。它不需要在客户端和服务端预先共享密钥，密钥通过 TLS 自动协商，部署成本低；它同时提供加密和认证，而传统方案往往只做认证、不加密。这些特性让 NTS 在公网时间同步场景中尤其适用。如果你正在评估不同主机方案对运维的影响，可以看看VPS 主机（虚拟专用服务器，在一台物理机上隔离出的独立运行环境）的配置说明，了解虚拟化环境下的时间同步注意事项。
启用 NTS 加密同步
启用 NTS 只需在 chrony 配置中把时间源声明为 ntsserver 指令。以 Debian/Ubuntu 和 CentOS/RHEL 系为例，编辑 /etc/chrony/chrony.conf，加入支持 NTS 的时间源：
ntsserver time.cloudflare.com
ntsserver time.google.com
配置完成后重启 chrony 并验证：
systemctl restart chronyd
chronyc -N sources -v
在 chronyc sources -v 输出中，NTS 源会显示 N 标记，表示该源启用了 NTS 认证。若看到 ^? 且无 N 标记，说明 NTS 协商失败，需要检查时间源是否真的支持 NTS，以及服务器能否访问其 TLS 端口。对运行在独立服务器上的业务，建议把 NTS 配置纳入系统初始化脚本，确保每次重启后都能自动恢复可信时间同步。
用访问控制限制时间源
除了加密，访问控制是时间同步安全的第二道防线。chrony 通过 allow 和 deny 指令控制哪些客户端可以查询本机时间，避免内网时间服务器被未授权设备滥用。
在配置文件中加入访问控制规则：
allow 192.168.1.0/24
deny all
allow 指定允许访问的内网网段，deny all 拒绝其余所有来源。这样即使内网时间服务器暴露在公网，未授权设备也无法查询时间。配置后重启 chrony，用 chronyc clients 查看当前连接的客户端，确认访问控制生效。
时间欺骗的排障实战
当你怀疑时间被篡改时，可以按下面顺序排查。先看 chronyc tracking 的 Leap status 和 System time，若偏差异常大且持续波动，可能是时间源被污染。再用 chronyc sources -v 观察每个源的 N 标记，确认是否启用了 NTS 认证。
若发现某个源频繁返回异常时间，先确认该源是否可信，必要时移除并换用支持 NTS 的源。对偏差特别大的服务器，可以先用 chronyc makestep 立即把时钟跳到正确值，再让 chrony 接管。生产环境建议在配置中保留 makestep 1 3 这类参数，让 chrony 在启动初期偏差超过阈值时直接跳变，快速恢复准确。这类排障思路同样适用于其他系统层面的问题，你可以参考网站优化一文，把时间安全纳入整体稳定性检查。
时间同步安全的运维建议
时间同步安全看似小众，却是很多隐蔽故障的根源。建议把 NTS 加密和访问控制纳入日常巡检：定期用 chronyc -N sources -v 检查 NTS 标记，确认时间源可信；在防火墙规则中明确放行 NTS 所需的 UDP 123 端口；对时间敏感的服务，更应确保时间源稳定且经过认证。
如果你需要一台时间同步稳定、网络环境可靠的服务器来承载这些关键服务，可以考虑 Hostease 的 VPS（虚拟专用服务器，在一台物理机上隔离出的独立运行环境）或独立服务器方案，它们提供稳定的网络连接和灵活的系统配置权限，方便你按需部署 chrony 等运维工具。选择服务器时，也可以参考我们关于服务器性能优化的文章，从整体上提升站点稳定性。
总结一下：时间同步安全是容易被忽视但重要的运维环节。用 NTS 加密替代明文 NTP，用访问控制限制时间源，并定期检查 NTS 标记，就能把时间欺骗风险控制在可接受范围内。如果你需要更详细的配置示例或遇到特定发行版的兼容问题，可以考虑查阅官方文档，或直接联系我们的技术支持团队获取帮助。