ntp地址无效问题

UIS提示NTP地址无效，通常不是网络不通，而是格式或校验逻辑问题。按以下步骤排查：
1. 确认地址格式
UIS的NTP配置只接受合法IP或FQDN，不能带http://、端口号或路径。例如***.***或10.1.1.1，不要写成10.1.1.1:123。
2. 检查管理网段路由
在UIS管理节点执行ping ，确认可达。如果ping通但配置仍报无效，继续下一步。
3. 验证NTP服务可用性
从UIS节点用nslookup （若用域名）确认解析正常。再用ntpdate -q （或chronyd -q）测试NTP端口123是否响应。若超时，检查NTP服务器防火墙及中间交换机ACL是否放行UDP 123。
4. UIS版本限制
部分UIS版本对NTP服务器地址有白名单或格式校验，要求必须是纯IP且不能是广播/组播地址。尝试改用IP而非域名配置。
5. 查看UIS日志
登录UIS管理平台，查看/var/log/下与NTP相关的日志（如ntp.log或平台审计日志），通常会有具体拒绝原因。
若以上均正常，建议在UIS配置界面重新输入地址并保存，有时是前端校验缓存导致。仍无效可联系H3C技术支持，提供UIS版本和日志。

交换机能通仅代表 ICMP ping 可达，UIS 集群节点（所有 CVM 主机）需要从管理网访问 NTP，UDP‑123 端口放行，Web 页面提交时会做预校验，校验失败直接报地址无效。

主要根因清单

1. 输入格式问题：部分 UIS 版本 Web 界面 NTP 配置不支持填写域名 / 主机名，只允许填写纯 IPv4 地址，填域名直接报地址无效；
2. 仅交换机通 NTP，UIS 各个 CVM 节点主机本身不通 NTP 服务器；交换机能 ping，不等于服务器节点路由、ACL 放行；
3. 安全策略拦截 UDP 123 端口：ICMP ping 通（ICMP）≠ NTP 可用（UDP 123），中间防火墙 / ACL 放通 ICMP，但丢弃 UDP‑123 报文华为；
4. NTP 服务器开启 NTP 身份验证，UIS 侧未配置对应密钥，预校验失败；
5. UIS 配置 NTP 时，网络下拉框选错，没有选择管理 Underlay 网络；
6. 集群多节点，个别节点路由异常，Web 校验会取集群节点进行连通性探测，只要一个节点探测失败就提示地址无效。

分步排查操作

步骤 1：输入格式校验

• 不要填写域名，直接填写 NTP 服务器纯 IPv4 地址，去掉多余空格、换行字符，重新提交。

步骤 2：登录 CVM 节点 SSH，逐个节点测试连通性（集群所有节点都要测）

ping NTP‑Server‑IP #测试UDP 123端口连通性 chronyc tracking chronyc sources #手工测试ntp连通 ntpdate‑q NTP‑Server‑IP

只要任意一台节点执行ntpdate -q失败，Web 就会提示地址无效。

步骤 3：网络选项确认

UIS Web【系统‑时间配置】，NTP 服务器的网络选择 Underlay 管理网络，不要选业务网络。

步骤 4：中间网络检查

1. 管理网交换机、防火墙，确认放行集群所有 CVM 节点源 IP 访问 NTP 服务器 UDP 123 双向报文；ping 通（ICMP）不能代表 NTP 正常工作Microsoft ...。
2. 确认 CVM 节点存在去往 NTP 服务器的正确静态路由，不能只有交换机有路由。

步骤 5：NTP 服务器侧核查

1. NTP 服务器是否开启 NTP 服务，监听 UDP123；
2. NTP 服务器是否配置访问控制，拒绝 UIS 集群节点访问；
3. 如果 NTP 服务器启用了 NTP 认证，UIS 平台 Web 界面要填写对应的认证密钥；不启用认证则关闭密钥选项。

临时规避：Web 无法保存，后台直接配置

Web 界面持续报地址无效，但后台节点ntpdate‑q测试正常，可以 SSH 登录主 CVM 节点修改 chrony 配置文件：

vi /etc/chrony.conf #增加 server x.x.x.x iburst

修改完成重启 chrony 服务：

systemctl restart chronyd

注意：后台修改文件不会同步到 Web 页面显示，集群多节点需要每个节点修改；优先解决 Web 预校验问题，尽量走 Web 界面配置。

验证配置生效

配置完成，查看集群时间同步状态：

chronyc sources chronyc tracking

观察^*标记，代表同步源正常工作。

排查顺序总结

1. 改用 NTP 服务器 IP 地址输入，不使用域名；
2. Web 配置确认网络选择 Underlay 管理网；
3. SSH 登录每一台 CVM 节点执行ntpdate -q NTP地址，确认全部节点 NTP 协议可达；
4. 排查中间设备 ACL / 防火墙放行 UDP‑123 端口；
5. 确认 NTP 服务器没有访问限制、认证密钥配置匹配。

补充：常见踩坑：交换机能 ping NTP 服务器，但是 UIS 服务器节点缺少回程路由，或者防火墙只放 ICMP 不放 UDP‑123，Web 预校验探测失败，直接提示地址无效。