Port 123: NTP-port för tidssynkronisering

Via port 123 synkroniserar datorer sina systemklockor med en tidsserver. Korrekt tid är viktigare än det först kan verka: TLS-certifikat, Kerberos, loggfiler, cronjobb och distribuerade databaser förutsätter att alla system har samma tid. Klienter som chrony, ntpd och systemd-timesyncd frågar en eller flera tidsservrar och justerar den lokala klockan stegvis. Tidsservern svarar på dessa förfrågningar via port 123.

NTP utvecklades av David L. Mills vid University of Delaware och är ett av de äldsta internetprotokollen som fortfarande används aktivt. Den aktuella versionen NTPv4 beskrivs i RFC 5905. IANA har officiellt tilldelat port 123 till tjänsten ”ntp”, vilket innebär att den ligger i intervallet för välkända portar från 0 till 1023. En förenklad variant utan de komplexa filtreringsalgoritmerna är SNTP, som också använder port 123.

• Tidssynkronisering av Linux- och Windows-servrar mot offentliga tidsservrar
• Egen intern tidsserver som alla system i nätverket synkroniserar mot
• Grunden för giltiga TLS-certifikat, Kerberos-biljetter och konsekventa loggfiler
• Synkroniserad tid i kluster, databasreplikering och övervakning

Du behöver bara öppna port 123 för inkommande trafik om din server själv ska fungera som en offentlig NTP-server. En vanlig server som bara synkroniserar sin klocka är en klient och behöver ingen regel för inkommande trafik. Brandväggen släpper igenom svaren på dess förfrågningar som tillhörande trafik. Öppna, felkonfigurerade NTP-servrar har missbrukats i stor skala för förstärkningsattacker: Med det gamla kommandot monlist (CVE-2013-5211) kunde en liten förfalskad förfrågan ge ett mycket stort svar till offret. Om du driver en NTP-server ska du hålla programvaran uppdaterad, inaktivera förfrågningar som monlist och helst bara tillåta förfrågningar från dina egna nätverk.