Кратко

  • NTP оценивает смещение часов и круговую задержку по четырём меткам, фильтрует повторные наблюдения и лишь затем управляет локальными часами клиента.
  • Stratum показывает расстояние до эталона и предотвращает петли, но не удостоверяет точность, собственность или полномочия. Многие серверы могут зависеть от одной общей неисправности.
  • NTS защищает обмен клиент—сервер, а не истинность времени выше по цепочке. Разнообразие, разрешение, мониторинг и политика коррекции остаются ответственностью оператора.

Когда уверенная стрелка ошибалась на недели

RFC 1129 описал в 1989 году опрос 94 260 хостов и шлюзов тремя протоколами времени. Ответили 20 758. Примерно половина отличалась от опорного времени эксперимента более чем на две минуты, около десяти процентов — более чем на четыре часа; некоторые ошибались более чем на две недели.

Это не перепись всего Интернета, а результат для ответивших систем. Но он доказал важное: доступность не удостоверяет часы. Ошибочный генератор может выдавать стабильное число с множеством знаков.

NTP не назначил одну безошибочную машину. Он сделал свидетельства измеримыми и сопоставимыми, а клиенту оставил право не следовать сомнительному источнику.

Четыре момента вокруг неизвестного пути

В 1981 году DCNET Internet Clock Service уже показал основу. RFC 778 описывал радиочасы WWV в COMSAT и часы от электросети, подверженные смещению и дрейфу. ICMP timestamp фиксировал запрос и ответ.

В современной записи клиент отправляет в t1, сервер принимает в t2, отвечает в t3, клиент принимает в t4. Смещение оценивается как [(t2 - t1) + (t3 - t4)] / 2, круговая задержка — как (t4 - t1) - (t3 - t2).

Односторонние задержки отдельно не измерены. Асимметрия маршрута превращается в ошибку смещения. Числовая точность поля не устраняет неопределённость доставки.

Потерянный пакет не останавливал измерение

RFC 958 определил NTP в сентябре 1985 года. RFC 1059 в 1988-м описал Version 1 после примерно двух лет прототипирования: несколько первичных эталонов, самоорганизующаяся иерархическая сеть вторичных серверов и отсутствие всемирных выборов единственного мастера.

Потерянную датаграмму можно было не восстанавливать: следующее измерение обновляло сведения. Это соответствовало Интернету с несколькими шлюзами, очередями и потерями. Ранняя версия уже фильтровала выборки, подавляла скачки, компенсировала дрейф и постепенно корректировала часы. Десятки миллисекунд в RFC 1059 относятся к тем испытаниям, а не служат вечной гарантией.

Отбор без оракула

Каждый источник даёт ряд смещений, задержек и границ ошибки. Фильтр предпочитает полезные, часто менее задержанные наблюдения, чтобы случайная очередь не управляла часами. Затем интервалы возможной поправки сравниваются; несовместимые кандидаты становятся falsetickers.

RFC 1305 уточнил фильтрацию и выбор в NTPv3. RFC 5905 описывает в NTPv4 выбор, кластеризацию и объединение выживших. Алгоритм University of Delaware допускает отказ от решения: если достаточного пересечения нет, источник не выбирается. «Не синхронизировано» честнее выдуманной точности.

Количество не равно независимости. Разные адреса могут иметь один GPS-приёмник, гипервизор, оператора или leap-smear. Коррелированное большинство способно ошибиться вместе.

Stratum — дистанция, а не титул

Stratum 1 непосредственно связан с первичными опорными часами, 2–15 обозначают дальнейшие ступени цепочки, 16 — отсутствие синхронизации. Это предотвращает получение времени от собственного потомка и циркуляцию ошибки.

Меньшее число не гарантирует качество. Плохо управляемый stratum 1 бывает хуже стабильного stratum 3. Поле не доказывает владение или общественный мандат. У NTP есть иерархия и первичные источники, но также клиент-серверный, широковещательный и симметричный peer-режимы. Это не единая суверенная пирамида и не плоская сеть без доверия.

Точность продолжается за пределами алгоритма

RFC 8633 рекомендует несколько действительно независимых источников и постоянное наблюдение. Четыре и более помогают только при независимых отказах. Разные сети могут делить один эталон, а leap-smear и обычный UTC намеренно расходятся около дополнительной секунды.

Нужно и разрешение. Производитель, записавший чужой публичный сервер в миллионы устройств, перекладывает на него трафик и защиту на годы. Открытый порт не является бессрочным договором. UDP-экспозиция, лимиты и защита от amplification входят в эксплуатационную корректность.

Подлинное сообщение может нести неверное время

RFC 8915 стандартизовал в 2020 году Network Time Security для клиент-серверного режима. NTS-KE через TLS создаёт ключи и защищённые cookie; последующие пакеты получают аутентифицированные расширения, а сервер может не хранить состояние.

NTS защищает происхождение и целостность ответа. Он не доказывает правильность upstream-эталона или независимость источников. Аутентифицированная ошибка остаётся ошибкой. Симметричный и управляющий режимы не входят в его область.

Общее время как опровержимое свидетельство

Часы упорядочивают журналы, сертификаты, транзакции и физические действия. Поэтому известный сервис легко принять за саму определённость. NTP требует большего: собрать несовершенные свидетельства, учесть путь, отвергнуть несовместимые, объединить оставшиеся и сохранить управление локальным генератором.

Доверие не исчезает — оно становится множественным, наблюдаемым и отзывным. Оператор эталона связывает его с гражданским временем, сервер управляет источниками и доступом, сеть формирует задержку, клиент выбирает и корректирует. Так разногласие даёт сходимость без вечного хозяина всех часов.

Источники и границы доказательств

Предыстория изложена в RFC 778, первая спецификация — в RFC 958, Version 1 — в RFC 1059, опрос — в RFC 1129. NTPv3 описан в RFC 1305. Зрелая модель следует RFC 5905 и Clock Select Algorithm, практика — RFC 8633, область NTS — RFC 8915.

Числа опроса относятся к ответившим, а поздние функции не приписываются реализации 1985 года.