![CentOS、Chrony 和 AWS 端口](https://linux22.com/image/678467/CentOS%E3%80%81Chrony%20%E5%92%8C%20AWS%20%E7%AB%AF%E5%8F%A3.png)
我想知道如何正确配置 AWS 安全性以允许 chrony 在 CentOS 7 实例上同步系统时间。
我运行的是 CentOS 7 的早期版本,它使用 chrony 1.29.1,并且它使用以下设置。
实例安全组:端口 123 上的传出 UDP
网络 ACL:在端口 123 上传入 UDP,在端口 123 上传出 UDP。
但是,当运行 yum update 或使用最新的 CentOS 7 版本(包含 chrony 2.1.1)启动新实例时,我只能让它与以下配置同步。
实例安全组:端口 123 上的传出 UDP
网络 ACL:传入 UDP 开启所有端口,以及端口 123 上的传出 UDP。
这是怎么回事?我现在真的需要允许网络 ACL 的所有端口上的传入 UDP 吗?这安全吗?我假设是的,因为我的安全组不允许传入 UDP 流量,除非它先前建立了传出连接,对吗?
谢谢。
答案1
没有为什么 收购港 可以配置。
即使软件没有提供这种便利,并且防火墙不允许流量返回,你仍然可以只开放一个临时端口范围并保持知名服务关闭。
答案2
这是一篇相当老的帖子,但我在这里提供了最新的信息。
自 2017 年 11 月起,亚马逊推出“亚马逊时间同步服务”。
对于在 VPC 中运行的任何实例,Amazon Time Sync Service 都可通过 NTP 在 IP 地址 169.254.169.123 上使用。您的实例不需要访问互联网,您也不必配置安全组规则或网络 ACL 规则来允许访问。
因此,如果您的实例在 VPC 内运行,则无需配置 ACL 和安全组来访问 NTP 服务器,只需使用 169.254.169.123 IP 作为 NTP 服务器。
有关如何配置使用 Amazon Time Sync Service 的 NTP 客户端 (chrony) 的更多详细信息,请参见这里。