タイムサーバー（NTP）

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。システムにログインできなくなった。エラーを見ると、時刻のずれが原因らしい、と言われる。

あるいは、不正アクセスの調査で、サーバーとスイッチのログを、突き合わせたい。でも、時刻が数分ずれていて、順番が分からない。

どちらも、庁内の時刻が、どこかで揃えられている前提で、成り立っています。今日は、時刻を合わせる仕組み、NTPをお話しします。

一言で言うと

先に、一言でまとめておきます。NTPは、ネットワークを通じて、機器の時計を合わせる仕組みです。ネットワーク・タイム・プロトコルの略です。

庁内の機器が、同じ時計を見ていないと、ログの突き合わせも、認証も、証明書も、おかしくなります。

地図のどこか

全体地図でいうと、時刻は、三つの層のすべてに関わる話です。

ただ、マイナンバー利用事務系は、ほかの層とは通信しない、専用の端末です。ほかの層から時刻をもらう、という形にはなりません。だから、層ごとに、時刻のもらい先を考えます。

なぜ時刻が大事か

理由の一つ目は、ログです。誰が、いつ、何をしたかの記録は、時刻が基準です。機器ごとにずれていると、事故のときに、順番が追えません。

二つ目は、認証です。マイクロソフトのADが使うケルベロス認証では、端末とドメインコントローラーの時刻が、既定で5分以上ずれると、認証が通らなくなります。

三つ目は、証明書です。証明書には、有効期間があります。時計が大きくずれた端末は、期限が切れた、あるいは、まだ始まっていない、と判断されて、つながらなくなることがあります。

時刻のもらい先

時刻には、元になる時計が必要です。日本標準時を配信している、情報通信研究機構、略してNICTは、誰でも使えるNTPのサービスを公開しています。

ただ、庁内の端末が、一台ずつインターネットに聞きに行く形は、あまり取りません。庁内にタイムサーバーを置き、そこが元になって、庁内の機器に配る形が、一般的な例です。

ADを使っている団体では、端末は、ドメインコントローラーから時刻をもらいます。マイクロソフトの既定の設計では、いちばん上のドメインコントローラーが、外の時刻に合わせます。

NTPの段の考え方

NTPには、ストラタムという考え方があります。いちばん正確な時計を、ストラタム0、それにつながるサーバーを、ストラタム1、と数えて、段をつくっていきます。

庁内のタイムサーバーは、上の段のサーバーから時刻をもらい、下の段の端末に配ります。段が多くなるほど、ずれが少しずつ大きくなります。

ただ、庁内の規模なら、段の数を気にすることは、あまりありません。どこが親で、どこが子かが分かれば、十分です。

三層ごとのもらい先

三層ごとに、時刻のもらい先を考えます。インターネット接続系は、インターネットのタイムサーバーに、聞きに行くことができます。

LGWAN接続系と、マイナンバー利用事務系は、インターネットには出ません。そこで、層の中にタイムサーバーを置き、その元の時計を、電波やGPSなどから受ける形があります。

どの層のタイムサーバーが、何から時刻をもらっているかは、団体によって違います。構成図に書いてあるとは限らないので、必ず確かめてください。

ネットワーク機器の時刻

意外と忘れがちなのが、スイッチやファイアウォール、無線LANの機器などです。これらも、NTPの設定を入れておかないと、時計がずれていきます。

設定項目は、NTPサーバーのアドレスを入れるだけの場合が多いです。ただ、機器の数が多いので、一覧にして、抜けがないかを見る必要があります。

入れたあとは、実際に時刻が合っているかを、ログの時刻で確かめます。

ずれたとき

時刻がずれたときは、まず、どの範囲でずれているかを見ます。一台だけなら、その端末の設定です。ある層の全部なら、その層のタイムサーバーが疑わしいです。

手で時計を直す前に、原因を調べるのが基本です。原因を放っておくと、また、ずれるからです。

サーバーの時刻を、急に大きく動かすと、業務システムの動きに影響することがあります。直す作業は、ベンダーにも相談して、時間帯を決めてから行います。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。パソコンの時計は、勝手に合っている、という誤解です。合わせる設定が入っていないと、少しずつずれます。

二つ目。数分のずれは、気にしなくていい、という誤解です。認証の許容は、5分が一つの基準で、ログの調査でも、数分のずれは困ります。

三つ目。パソコンとサーバーだけ合っていればいい、という誤解です。スイッチ、ファイアウォール、複合機、監視カメラなども、それぞれ時計を持っています。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。庁内のタイムサーバーが、どこにあるか。そして、それが何から時刻をもらっているか。層ごとに確かめます。

二つ目。ADを使っている場合は、ドメインコントローラーの時刻の設定です。ここがずれると、全体に響きます。

三つ目。ログを取っている機器の、時刻の設定です。これは、第13回のログの保管でも、もう一度つなげます。