Кратко

  • Измерения BigTime за 2025 год, представленные на RIPE 93, показали: примерно половина из более чем 9 000 точек RIPE Atlas, использовавших службу времени Microsoft, получила один NTP-адрес. В инвентаре исследования было 12 IPv4-адресов.
  • RFC 8633 рекомендует NTP-клиентам несколько источников времени. DNS-адреса, площадки Anycast и независимые часы — три разных счётчика.

Время — незаметная настройка, которая умеет остановить машину с большим шумом. Сертификаты истекают по часам, журналы выстраивают события по отметкам времени, у кэшей и ключей тоже есть сроки. Панель системных часов обычно открывают уже после сбоя. Поэтому служба, спрятанная за этой настройкой, получает власть, которую пользователь почти никогда не видит.

На RIPE 93 исследователь Паскаль Хупперт представил BigTime — работу о том, как семь крупных служб времени размещают копии серверов и распределяют между ними клиентов. Исходные измерения описаны в отчёте, опубликованном в 2025 году. Доклад в октябре 2026-го принёс эти результаты в сообщество RIPE, но не повторил эксперимент в том же месяце. Один результат особенно наглядно показывает, что «много серверов» означает для устройства на краю сети.

Для картирования ответов DNS команда использовала 500 проб RIPE Atlas. Каждая раз в десять минут в течение восьми часов напрямую обращалась к авторитетному DNS-серверу службы времени. Так исследователи видели исходные ответы, а не принимали кэш рекурсивного резолвера за ответ авторитетного сервера. Отдельный анализ числа серверов на одного клиента охватил более 9 000 точек Atlas: каждая отправляла 72 прямых DNS-запроса за 12 часов, по одному каждые десять минут. В наборе Microsoft было 9 010 точек.

В этой выборке примерно половина точек, использовавших службу времени Microsoft, получила адрес лишь одного NTP-сервера. При этом в инвентаре службы отчёт перечислил 12 IPv4-адресов. Это числа с разных уровней: у поставщика — двенадцать адресов, у многих измеренных клиентов в DNS-ответе — один. Результат относится к точкам RIPE Atlas, а не к половине всех компьютеров с Windows. Atlas наблюдает сети, но не ведёт перепись каждого устройства на планете.

У репликации несколько этажей. DNS может вернуть для одного имени несколько адресов. Anycast позволяет объявлять один адрес с разных площадок, а маршрутизация доставляет трафик на подходящую. Внутри площадки балансировщик может раздавать запросы нескольким серверам. Эти конструкции перемещают трафик и помогают пережить часть отказов. Они сами по себе не дают клиенту несколько источников времени для сравнения.

Семь служб из отчёта тоже не строились по одному чертежу: три использовали Anycast, четыре — адреса unicast. Докладчик сказал, что локальные балансировщики исключить не удалось. Поэтому число адресов нельзя превратить в число физических машин или нарисовать по нему карту независимых зон отказа. Доказать можно более узкую вещь: какие ответы DNS получили измеренные клиенты.

RFC 8633 превращает эту разницу из спора о терминах в инженерное требование. Рекомендации по NTP предлагают клиенту использовать несколько источников, сравнивать показания, оставлять надёжные и отбрасывать плохие. Раздел об Anycast прямо описывает ловушку: один Anycast-адрес может скрывать огромный распределённый пул и всё равно оставлять клиенту один источник. Несколько отдельных Anycast-пулов сохраняют простоту настройки и дают устройству несколько источников для сравнения.

Глобальный парк поставщика и выбор одного клиента не измеряют одну и ту же надёжность. Кластер за одним адресом может увеличить ёмкость или переключить запрос внутри площадки; второго показания, с которым клиент мог бы проверить первое, он не добавляет. Если ошибается сам источник, в полученном списке нет независимого голоса. Исследование не зафиксировало массовый сбой часов. Оно обнаружило условие архитектуры, при котором рекомендуемое сравнение источников не может начаться.

В эксперименте на точность использовались два отдельно синхронизированных с эталоном узла — не та большая выборка, что в DNS-анализе. Это разделение важно: вывод о числе адресов опирается на множество точек Atlas, а эксперимент точности узок. Новое независимое измерение нынешних настроек операционных систем показало бы, описывает ли срез 2025 года то, что устройства получают сегодня.

Публичная ведомость службы времени должна держать отдельно три числа: сколько адресов получает клиент, сколько площадок доступно за этими адресами и сколько независимых источников времени клиент может сопоставить. Карта серверов отвечает, насколько велик поставщик. Устройству, ожидающему проверки сертификата, нужен другой ответ.

Источники