防火墙（华三NS-SecPath F1000-AK145）设备时间与北京时间不一致

同步不准一个是时区问题，一个是NTP服务器的问题。

或者手动指定时间

一、故障根本原因
时区未正确设置东八区（GMT+8）：防火墙默认 UTC 零时区，自动同步 NTP 后只拿到格林威治时间，本地显示自动慢 8 小时 / 1 小时（部分旧固件时区识别偏移）；
NTP 服务器无法正常连通：虽然开启了自动同步，但外网 NTP 域名 / IP 不通、防火墙安全策略拦截 UDP 123 端口，同步失败，设备只靠内置晶振走时，长期累积误差慢 1 小时；
DNS 未配置，域名解析失败，无法解析公网 NTP 服务器地址。
二、两种配置方式：Web 图形界面（优先，操作简单）+ CLI 命令行
方式 1：Web 界面操作（对应你截图里「维护→日期和时间」页面）
步骤 1：修正时区（最关键一步，解决慢小时问题）
登录防火墙 Web 管理 → 顶部菜单【维护】→【日期和时间】
时区选择：下拉框选择 北京,重庆,香港,乌鲁木齐 (GMT+08:00)，不要选 UTC/GMT+0
点击【应用】保存时区，此时时间会立刻 + 8 小时，初步对齐北京时间。
步骤 2：配置 NTP 自动同步（长期保持时间准确）
同步模式选择：自动同步网络日期和时间（SNTP/NTP）
NTP 服务器填写国内稳定授时地址（推荐阿里云 / 国家授时中心）
首选域名：***.***
备选：***.***（国家授时中心）、***.***
同步间隔默认 60 分钟，无需修改；
开启 DNS（系统→DNS 设置），添加公共 DNS 223.5.5.5 / 114.114.114.114，保证 NTP 域名解析。
点击【立即同步】，等待 10 秒页面刷新，查看本地时间是否与北京时间完全一致。
步骤 3：放行 NTP 端口（不同步时必做）
进入【策略→安全策略】，新增放通外网 NTP 规则：
源域：trust（内网管理 PC）/local（防火墙本机）
目的域：untrust
服务：NTP（UDP 123 端口）
动作：允许
若有外网 ACL，同步放行 UDP 123 出站。
临时应急：手动校准时间（无法联网同步时）
同步模式切换为「手动设置日期和时间」，手动填写当前北京时间，应用后保存。
方式 2：CLI 命令行完整配置（Telnet/SSH 登录）
bash
运行
# 1. 配置东八区北京时间（核心修复慢1小时）
system-view
clock timezone Beijing add 08:00:00

# 2. 配置DNS，解析NTP域名
dns server 223.5.5.5
dns server 114.114.114.114

# 3. 开启NTP服务，配置双NTP服务器兜底
ntp-service enable
clock protocol ntp
# 主服务器：阿里云
ntp-service unicast-server ***.***
# 备用：国家授时中心
ntp-service unicast-server ***.***

# 4. 立即强制同步一次时间
ntp-service update

# 5. 安全域放行本机NTP出站（local→untrust）
zone security trust
zone add interface GigabitEthernet 0/1 # 内网管理口
zone security untrust
zone add interface GigabitEthernet 0/0 # 外网口
security-policy
rule permit source-zone local destination-zone untrust service ntp
quit

# 6. 保存配置
save force
三、校验同步是否成功命令
bash
运行
# 查看当前本地时间、时区
display clock
# 查看NTP同步状态，synchronized代表同步正常
display ntp-service status
# 查看NTP服务器会话
display ntp-service sessions
正常输出标识：Clock status: synchronized
四、常见踩坑排查
时区选了 UTC，同步完永远慢 8 小时
必须改成 GMT+8 北京时区，仅同步 NTP 不改时区，时间永久偏移。
开启自动同步但时间不更新
检查 DNS 能否解析***.***；
安全策略未放行 local 到 untrust 的 UDP123 NTP 端口；
外网运营商拦截 NTP，更换 NTP 服务器 IP 直连（120.25.115.20）。
同步成功后过几天又慢
晶振走时误差，缩短 NTP 同步间隔为 30 分钟，双 NTP 服务器冗余。
内网无互联网，无法公网 NTP
在内网部署一台 Windows/Linux NTP 服务器，防火墙指向内网 NTP IP 同步。
五、长期稳定保障建议
时区固定 GMT+8 北京，不要使用 UTC 零时区；
配置主备 2 台国内 NTP 服务器，避免单一服务器失效；
安全策略永久放行防火墙本机 NTP 出站；
定期执行display clock核对日志时间，保证审计、VPN、证书时间戳准确。