地址服务与设备管理
NTP 和 Syslog：为什么时间正确才能排障
本课问题：多台设备日志时间不同，怎样还原真实故障顺序？ 学完你能：配置统一 NTP 与 Syslog，验证时间偏差和远端日志接收。
前置知识
- DNS 故障为什么看起来像网络不通
课堂开场
本课问题：多台设备日志时间不同，怎样还原真实故障顺序？
学完结果：配置统一 NTP 与 Syslog，验证时间偏差和远端日志接收。
预计时间：20 分钟。前置课：DNS 故障为什么看起来像网络不通。
范围控制：本课不把未同步日志用于精确因果判断。
02基础知识讲解
三台交换机对同一次链路抖动记录了不同时间，无法排出事件先后；需要统一时间源并确认日志送达集中服务器。
本课最小拓扑或状态图：SW1/SW2/SW3 → NTP 10.0.0.20；SW1/SW2/SW3 → Syslog 10.0.0.30
直觉解释：监控像多机位录像：所有摄像机时钟一致，集中保存的画面才可拼成可信时间线。
正式定义：NTP 用分层时间源同步设备时钟；Syslog 按严重级别把带时间戳的事件发送到日志接收端，二者共同形成可关联的事件记录。
判断依据：时区、时间源和同步状态必须同时记录。
| 重点 | 你要理解 | 判断依据 |
|---|---|---|
| 重点 1 | NTP 让设备事件使用可比较的时间基线。 | SW1 显示 synchronized、参考源 10.0.0.20、偏差 1.8 ms；测试日志在 10.0.0.30 以同一时区收到。 |
| 重点 2 | Syslog 集中保存事件，设备故障后仍可查历史。 | loghost 配置指出远端 Syslog 地址、facility 与通道，证明发送目标已配置。 |
| 重点 3 | 时区、时间源和同步状态必须同时记录。 | 未同步时检查源地址、路由、ACL 和 NTP 服务器状态。 |
03正确理解与常见误解
正确示例：SW1 显示 synchronized、参考源 10.0.0.20、偏差 1.8 ms；测试日志在 10.0.0.30 以同一时区收到。
错误示例：只配置 NTP 服务器地址就开始按秒比较日志，未核对同步状态、时区、偏差和远端实际接收。
- 术语与判断：NTP 让设备事件使用可比较的时间基线。
- 术语与判断：Syslog 集中保存事件，设备故障后仍可查历史。
- 术语与判断：时区、时间源和同步状态必须同时记录。
04老师演示
演示环境：设备 SW1，华为 S5735-L24T4X-A，VRP V200R022C00SPC500，当前提示符 <SW1>，隔离课程网络。教师准备执行前检、配置和验证序列：
- 前检
核对 SW1、目标对象、当前状态、带外路径和变更前业务基线。 - 配置（配置 NTP 时间同步）
system-view进入系统视图。 - 配置（配置 NTP 时间同步）
ntp-service unicast-server 10.0.0.20配置组织 NTP 服务器。 - 只读核验（配置 NTP 时间同步）
display ntp-service status确认时钟已同步，并核对层级、参考源和偏移。 - 只读核验（查看 NTP 同步状态与偏差）
display ntp-service status第 1 步：在目标设备上执行并核对命令作用范围。 - 只读核验（查看 NTP 同步状态与偏差）
display ntp-service sessions读取实际状态或计数器，确认“确认时间源、层级、偏差和最近同步时间”已经满足。 - 配置（配置集中 Syslog 服务器）
info-center loghost 10.99.0.60第 1 步：在目标设备上执行并核对命令作用范围。 - 只读核验（配置集中 Syslog 服务器）
display info-center读取实际状态或计数器，确认“把指定级别日志发送到集中平台并保留来源地址”已经满足。
安全说明：命令来自“配置 NTP 时间同步”华为实现，用于华为使用 ntp-service unicast-server 指定单播 NTP 服务器。 执行前已确认当前设备、版本、视图、影响对象、停止条件和输出脱敏范围。
脱敏真实输出：
<SW1>display ntp-service status Clock status: synchronized, stratum 3, reference 10.0.0.20, offset +1.8 ms Info-center loghost 10.0.0.30 facility local7 channel loghost 10:02:18+08:00 SW1 IFNET/4/LINK_STATE received by SYSLOG01
异常输出：
Clock status: unsynchronized, reference 0.0.0.0, offset +327.4 s Syslog sent 128, remote received 0; route to 10.0.0.30 missing 差异说明：未同步且偏差 327.4 秒会破坏时间线，日志发送虽有计数但远端为零又说明路径缺失；下一步检查到 NTP 与 Syslog 两个目标的路由和 ACL。 此时不能套用正常结论；先保存采集时间，再执行“查看 NTP 同步状态与偏差”对应的最小只读检查。
05逐行读懂输出
结论：当前输出可以支持“配置统一 NTP 与 Syslog，验证时间偏差和远端日志接收。”中的基础判断，但仍要完成跟做任务和业务验收，不能把单份输出当作全部证明。
- 第 1 行“Clock status: synchronized, stratum 3, reference 10.0.0.20, offset +1.8 ms”：synchronized、参考源和 1.8 ms 偏差证明 SW1 已从批准 NTP 源校时。
- 第 2 行“Info-center loghost 10.0.0.30 facility local7 channel loghost”：loghost 配置指出远端 Syslog 地址、facility 与通道，证明发送目标已配置。
- 第 3 行“10:02:18+08:00 SW1 IFNET/4/LINK_STATE received by SYSLOG01”：带 +08:00 时间戳的链路事件已被 SYSLOG01 收到，证明日志端到端送达。
06学员跟做
起始状态：使用隔离课程环境，SW1 当前配置保持阶段基线，学员已登录但尚未执行本课检查。目标状态：配置统一 NTP 与 Syslog，验证时间偏差和远端日志接收。
操作步骤：①前检当前时区、时间、NTP 状态及到两台服务器的路由；②配置批准的 NTP 源和 Syslog 服务器；③等待同步后记录参考源、层级、偏差，并发送一条可识别测试事件；④在远端确认接收时间后撤销本课两项配置并复核基线；⑤进入“排障：日志时间基线错误”独立完成相同目标。
成功标准：输出与规划一致，立即闯关全部目标通过，并能用自己的话说明三个重点。失败检查顺序：①未同步时检查源地址、路由、ACL 和 NTP 服务器状态；②时间正确但日志未到时检查 loghost、严重级别和远端监听；③日志已到但时间线错位时统一时区并比较 NTP 偏差。
- 保存教师演示命令和本次学员输出，文件名含设备、日期和课次。
- 步骤标题只提示检查对象，不复制最终答案。
- 失败时一次只验证一个假设，不连续粘贴未知命令。
07安全、验证与回滚
本课包含配置。
- 前检
- 核对 SW1、目标接口/对象、当前配置、业务基线和带外路径。
- 风险
- 误选对象会中断业务或管理连接。
- 停止条件
- 管理连接中断、合法业务失败、错误计数持续上升或输出偏离预期。
- 回滚方法
- 只撤销本课变更，按“undo info-center loghost 10.99.0.60 → undo ntp-service unicast-server 10.99.0.20”恢复前检保存的值，再重复相同验证；验证通过后才考虑保存配置。
验证必须同时回答：配置或输入是否正确、设备状态是否符合预期、真实任务“配置统一 NTP 与 Syslog，验证时间偏差和远端日志接收。”是否完成。
08本课关联资源
按顺序完成：先看命令 → 立即闯关 → 可选加练 → 案例步骤 → 返回本页复盘。
- 必学命令：配置 NTP 时间同步打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 必学命令：查看 NTP 同步状态与偏差打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 必学命令：配置集中 Syslog 服务器打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 立即闯关：排障：日志时间基线错误打开资源 →目标：独立完成“配置统一 NTP 与 Syslog，验证时间偏差和远端日志接收。”对应的最小任务｜完成标准：规则引擎全部目标通过并保存关键输出。
09自测一：概念判断
先判断对错，再写出为什么。
- 判断 1：以下做法是正确的——只配置 NTP 服务器地址就开始按秒比较日志，未核对同步状态、时区、偏差和远端实际接收。
- 判断 2：以下做法是正确的——SW1 显示 synchronized、参考源 10.0.0.20、偏差 1.8 ms；测试日志在 10.0.0.30 以同一时区收到。
10自测二：输出解读
重新阅读老师演示的第 2 行输出：它能直接证明什么？还不能证明“配置统一 NTP 与 Syslog，验证时间偏差和远端日志接收。”中的哪一部分？请写出下一条最小验证证据。
11自测三：小型操作
在隔离环境或纸面拓扑中完成：配置统一 NTP 与 Syslog，验证时间偏差和远端日志接收。 保存关键输出，按“现象—证据—结论—下一步”写四行记录；不得复制本页最终结论。
答案与复盘
13下一课
下一课：SSH、AAA、管理 VLAN 和管理 ACL。你已经能“配置统一 NTP 与 Syslog，验证时间偏差和远端日志接收。”，下一课将用这项能力继续回答“怎样限制只有受控运维来源可以登录设备？”。