Port 123: NTP-Port für Zeitsynchronisation

Über Port 123 gleichen Rechner ihre Systemuhr mit einem Zeitserver ab. Eine genaue Uhrzeit ist wichtiger, als sie zunächst wirkt: TLS-Zertifikate, Kerberos, Logdateien, Cronjobs und verteilte Datenbanken verlassen sich darauf, dass alle Systeme dieselbe Zeit haben. Clients wie chrony, ntpd oder systemd-timesyncd fragen einen oder mehrere Zeitserver an und korrigieren die lokale Uhr schrittweise. Der Zeitserver selbst beantwortet diese Anfragen auf Port 123.

NTP wurde von David L. Mills an der University of Delaware entwickelt und gehört zu den ältesten noch aktiv genutzten Internetprotokollen. Die aktuelle Version NTPv4 ist in RFC 5905 beschrieben. Die IANA hat Port 123 offiziell dem Dienst „ntp“ zugewiesen, er liegt damit im Bereich der Well-known Ports von 0 bis 1023. Eine vereinfachte Variante ohne die komplexen Filteralgorithmen ist SNTP, die ebenfalls Port 123 nutzt.

• Zeitsynchronisation von Linux- und Windows-Servern gegen öffentliche Zeitserver
• Eigener interner Zeitserver, an dem sich alle Systeme im Netzwerk orientieren
• Grundlage für gültige TLS-Zertifikate, Kerberos-Tickets und konsistente Logdateien
• Synchrone Uhrzeit in Clustern, Datenbank-Replikation und Monitoring

Einen eingehenden Port 123 brauchst du nur, wenn dein Server selbst als öffentlicher NTP-Server arbeiten soll. Ein normaler Server, der nur seine Uhr stellt, ist Client und benötigt keine eingehende Regel, die Antworten auf seine Anfragen lässt die Firewall als zugehörige Verbindung durch. Offene, falsch konfigurierte NTP-Server wurden massenhaft für Amplification-Angriffe missbraucht: Über den alten monlist-Befehl (CVE-2013-5211) erzeugte eine kleine gefälschte Anfrage eine sehr große Antwort an das Opfer. Betreibst du einen NTP-Server, halte die Software aktuell, deaktiviere Abfragen wie monlist und erlaube Anfragen am besten nur aus deinen eigenen Netzen.