Port 123: port NTP do synchronizacji czasu

Przez port 123 komputery synchronizują swoje zegary systemowe z serwerem czasu. Dokładny czas jest ważniejszy, niż mogłoby się wydawać: certyfikaty TLS, Kerberos, pliki logów, zadania cron i rozproszone bazy danych wymagają zgodności czasu we wszystkich systemach. Klienci tacy jak chrony, ntpd i systemd-timesyncd wysyłają zapytania do jednego lub kilku serwerów czasu i stopniowo korygują lokalny zegar. Serwer czasu odpowiada na te zapytania przez port 123.

NTP opracował David L. Mills na University of Delaware. Jest to jeden z najstarszych protokołów internetowych wciąż aktywnie używanych. Aktualna wersja NTPv4 jest opisana w RFC 5905. IANA oficjalnie przypisała port 123 do usługi „ntp”. Należy on do zakresu portów powszechnie znanych od 0 do 1023. Uproszczoną wersją, pozbawioną złożonych algorytmów filtrowania, jest SNTP, który również korzysta z portu 123.

• Synchronizacja czasu serwerów Linux i Windows z publicznymi serwerami czasu
• Własny wewnętrzny serwer czasu, z którym synchronizują się wszystkie systemy w sieci
• Podstawa ważnych certyfikatów TLS, biletów Kerberos i spójnych plików dziennika
• Synchronizacja czasu w klastrach, replikacji baz danych i monitoringu

Przychodzący port 123 jest potrzebny tylko wtedy, gdy twój serwer ma działać jako publiczny serwer NTP. Zwykły serwer, który jedynie synchronizuje swój zegar, jest klientem i nie potrzebuje reguły dla ruchu przychodzącego — firewall przepuszcza odpowiedzi jako część nawiązanego połączenia. Otwarte, źle skonfigurowane serwery NTP były masowo wykorzystywane do ataków wzmacniających: za pomocą starego polecenia monlist (CVE-2013-5211) niewielkie zapytanie ze sfałszowanym adresem nadawcy wywoływało bardzo dużą odpowiedź wysyłaną do ofiary. Jeśli prowadzisz serwer NTP, aktualizuj oprogramowanie, wyłącz zapytania takie jak monlist i najlepiej przyjmuj zapytania tylko ze swoich sieci.