Windows 10 - インターネット時刻同期エラー - タイムアウト

Question

ほとんどの NTP および SNTP クライアントは、「クライアント/サーバー」モードで動作します。これは他の UDP クライアントと同じです。コンピューターは一時ポートからサーバーの NTP ポート 123 に NTP クエリを送信し、ポート 123 からその一時ポートに応答が返されます。これは、Linux NTP クライアントの動作である可能性が最も高いです。

しかし、Windowsの組み込みNTPクライアントは「対称」モードを使用しており、パケットはローカルポート123からサーバーのポート 123 に送信されます。同様に、応答はリモートポート 123 からローカルポート 123 に到着します。

(この対称ポートの使用は NTP に特有のものであり、2 つの NTP サーバーが相互に同期するピアツーピアの状況でよく見られます。Windows がなぜこれを実行するのかはわかりませんが、Windows Server が AD DC 機能の一部として実際の NTP サーバーとして機能できるためである可能性があります。)

しかし、「対称」モードの問題はネットワークファイアウォールにポート123へのこれらの受信応答は、受信応答と完全に区別がつきません¹リクエストポート123へ。

多くの ISP は、ネットワークレベルのファイアウォールを導入して、特定の「危険な」プロトコル (DDoS 増幅に悪用されやすいものなど) をブロックしていますが、残念ながら NTP もその 1 つです。そのため、予防措置として、ISP は顧客のポート 123 へのすべての UDP パケットの受信をブロックすることがあります。これは、顧客が NTP サーバーを実行できないようにするためだけであると誤って考えられているためです。

あるいは、ISP は、すべての顧客が NAT を備えた個人用ルーターを持っているという前提でこれを実行している可能性があり、多くのルーターは実際に送信パケットのローカルポートを再割り当てします。そのため、コンピューターがパケット 123→123 を送信しても、ルーターはそれを 61473→123 に変換し、問題は発生しません。ただし、すべてのルーターがそのような再マッピングを行うわけではありません (このタイプの NAT は、多くの場合、ゲームに干渉します)。

提案:

ルーターで「Cone NAT」と「Symmetric NAT」のどちらかを選択できる場合は、後者に切り替えてみて、効果があるかどうかを確認してください (この用語は実際には対称 NTP とはまったく関係ありません)。
それ以外の場合は、クライアントモードで動作し、この問題が発生しないサードパーティの NTP クライアントを引き続き使用する必要があります。
マイクロソフトにはKB記事どのモードを使用するかを指定することについてですが、NTPヘッダーのモードビットに影響しますが、ない実際には、Windows が別のソースポートを使用するようになります。残念です。

（NTPv3では、送信元ポートはないクライアントモードでは 123 になりますが、NTPv4 ではこれが禁止されなくなったため、NTP ヘッダーで指定されているモードフラグに関係なく、Windows が 123→123 を使用するのはそのためかもしれません。

¹自宅のルーターに搭載されているようなステートフルファイアウォールは、できる以前に見た送信パケットを追跡することで、クエリと応答を区別します。しかし、ステートフルファイアウォールは小規模なネットワーク境界では一般的ですが、各パケットの状態を調べるとパフォーマンスが低下するため、「ISP全体」レベルに簡単に拡張できないのではないかと思います。そのため、ISPがステートレスファイアウォールの場合も、この記述は当てはまります。対称モードでは、2 種類の NTP パケットは区別できなくなります。

Answer 1