Fähigkeit

NTP-Service

TR7 bezieht die Zeit aus externen Quellen und verteilt sie als zuverlässigen NTP-Service an die interne Infrastruktur.

Die korrekte Zeit ist das unsichtbare Fundament der Sicherheits- und Audit-Infrastruktur. Zertifikatsgültigkeit, Audit-Log-Korrelation, TOTP/MFA-Codes, Sitzungsdauern, Lizenzprüfungen und das Verhalten verteilter Systeme hängen alle vom Gleichen ab: davon, dass alle Komponenten derselben Zeitreferenz vertrauen. Der TR7 NTP-Service bündelt diesen Bedarf an einem Punkt. TR7 bezieht die Zeit aus externen NTP-Pools, synchronisiert seine eigene Uhr und dient Servern, Netzwerkgeräten, Container-Umgebungen und Backends im internen Netzwerk als NTP-Quelle. So muss nicht jedes System einzeln zu externen NTP-Quellen ausgehen. In mandantenfähigen Strukturen kann der NTP-Service über einen bestimmten Netzwerkbereich und eine VIP bereitgestellt werden. Jeder Mandant verbindet sich mit seiner eigenen isolierten Zeitquelle; per Allow-List wird gesteuert, welche Subnetze oder Clients die Zeit beziehen dürfen. Im Dashboard werden Sync-Status, Offset, Drift und Referenzinformationen zentral überwacht. Ergebnis: TR7 macht die Zeitsynchronisierung von einem separaten Nebendienst zu einer zentralen Zeitinfrastruktur, die zusammen mit den Sicherheits-, Zugriffs-, Zertifikats-, Audit- und Compliance-Schichten der ADC-Plattform verwaltet wird.

2
In einer Schicht vereinte Rolle: NTP-Client + NTP-Server
400+
IANA-Zeitzonenoptionen
7–8 s
Typische erste Synchronisierungsdauer mit iburst-Modus

Wenn jeder Server einzeln zu externem NTP geht, entsteht ein Risiko für Sicherheit, Sichtbarkeit und Compliance.

Die Zeitsynchronisierung fällt im Normalfall nicht auf; ist sie gestört, ist das gesamte System betroffen. Zertifikate können ungültig erscheinen, TOTP- und MFA-Codes können abgelehnt werden, Audit-Logs stimmen nicht überein, Sitzungsdauern werden falsch berechnet und die Transaktionsreihenfolge in verteilten Datenbanken wird problematisch. Die korrekte Zeit ist das Fundament von Sicherheit und Betrieb.

Beim klassischen Ansatz verbindet sich jeder Server, jedes Netzwerkgerät, jeder Container oder jede Anwendungskomponente eigenständig mit externen NTP-Pools. Dieses Modell vergrößert die externe Verkehrsfläche, vervielfacht die Firewall-Regeln und führt dazu, dass Hunderte von Systemen gleichzeitig über UDP 123 nach außen gehen. Außerdem kann jedes System seine Zeit aus einer anderen Quelle beziehen, wodurch innerhalb des Clusters Abweichungen entstehen können.

Einen eigenständigen NTP-Server aufzusetzen wirkt kontrollierter; das bedeutet jedoch zusätzliche Infrastruktur, zusätzliche Überwachung, zusätzliche HA, zusätzliche Wartung und separates Betriebs-Know-how. In mandantenfähigen Umgebungen ist die Isolation des Zeitverkehrs jedes Mandanten zudem ein eigenes Architekturproblem, das gelöst werden muss.

Der eigentliche Bedarf besteht darin, die Zeit an einem einzigen zuverlässigen Punkt zu beziehen, sie kontrolliert an die interne Infrastruktur zu verteilen, nur autorisierte Clients zu bedienen und den Zeitverkehr in mandantenfähigen Umgebungen nach Netzwerkbereich zu trennen. Die zeitverteilende Plattform muss zugleich ihre eigene Uhr zuverlässig synchronisieren.

Der TR7 NTP-Service vereint NTP-Client- und NTP-Server-Funktionen in einer einzigen Schicht; er synchronisiert sich mit Upstream-Zeitquellen, bietet Downstream-Clients einen kontrollierten NTP-Service und macht die Zeitgesundheit über ein zentrales Dashboard sichtbar.

Unser Ansatz

TR7 behandelt NTP als bidirektionalen Service, der sowohl seine eigene Uhr korrekt hält als auch zuverlässig Zeit an die interne Infrastruktur verteilt.

Bezieht die Zeit von Upstream-Quellen und verteilt sie ins interne Netz

TR7 bezieht die Zeit aus externen oder unternehmensinternen NTP-Quellen und synchronisiert seine eigene Uhr. Anschließend nutzen Server, Netzwerkgeräte und Container-Umgebungen im internen Netz TR7 als NTP-Quelle. So werden externe NTP-Verbindungen an einem einzigen Punkt konsolidiert.

Drift-Korrektur steuert Zeitsprünge kontrolliert

Bei der ersten Synchronisierung werden große Uhrabweichungen schnell korrigiert. Nachfolgende Korrekturen erfolgen nach der Logik eines sanften Slew; laufende Services erleben keinen Zeitsprung rückwärts. Dieses Verhalten ist für Audit, Sitzungen und Transaktionsreihenfolge entscheidend.

Netzwerkbereichsbasiertes Bind bietet Mandantenisolation

Der TR7 NTP-Service kann über einen bestimmten Netzwerkbereich und eine VIP bereitgestellt werden. Jeder Mandant verbindet sich mit seiner eigenen isolierten Zeitquelle; der NTP-Verkehr eines Mandanten ist im Netzwerk eines anderen nicht sichtbar. Dieses Modell sorgt in mandantenfähigen SaaS- und Sovereign-Cloud-Umgebungen für eine klare Trennung.

Die Allow-List gibt nur autorisierten Clients die Zeit

TR7 kann Downstream-NTP-Clients nach Subnetz, IP oder Netzwerkbereich einschränken. Die Nutzung des NTP-Service durch unautorisierte Quellen wird verhindert. Die interne Infrastruktur bezieht synchronisierte Zeit, ohne direkt zu externen NTP-Pools auszugehen.

Fähigkeiten

Der NTP-Service bietet Zeitbezug, Zeitverteilung, Zugriffskontrolle, mandantenfähiges Bind und operative Sichtbarkeit als ein einziges Plattform-Feature.

Der NTP-Server-Modus stellt der internen Infrastruktur eine zentrale Zeitquelle bereit

TR7 kann über UDP 123 als NTP-Server arbeiten. Server, Netzwerkgeräte, Container-Umgebungen und Backends können TR7 als Zeitquelle eintragen. So müssen sich nicht Hunderte von Systemen einzeln mit externen NTP-Quellen verbinden. Der externe Zeitzugriff wird an einem einzigen Punkt kontrolliert.

Der NTP-Client-Modus bezieht zuverlässige Zeit aus Upstream-Pools

TR7 synchronisiert seine eigene Uhr aus definierten Upstream-NTP-Quellen. Durch die Definition mehrerer Quellen lässt sich die Abhängigkeit von einer einzigen Quelle reduzieren. Durch ein schnelles Synchronisierungsverhalten beim Start verfügt das System in kurzer Zeit über zuverlässige Zeit. Dies bildet das verlässliche Fundament der Downstream-NTP-Verteilung.

Netzwerkbereichsbasiertes Bind richtet mandantenfähige Zeitisolation ein

Der TR7 NTP-Service kann über einen bestimmten Netzwerkbereich lauschen. In mandantenfähigen Strukturen bezieht jeder Mandant NTP über seine eigene VIP oder seinen eigenen Netzwerkbereich. Der Zeitverkehr fließt, ohne die Mandantengrenzen zu überschreiten. So wird in vTenant- und Cross-Netzwerkbereich-Architekturen auch die Zeitschicht in die Isolation einbezogen.

Die Allow-List gewährt nur autorisierten Clients NTP-Zugriff

Downstream-Clients können per Allow-List eingeschränkt werden. Der Betreiber erlaubt nur bestimmten Subnetzen, IPs oder Netzwerkbereichen, von TR7 die Zeit zu beziehen. Das verhindert, dass der NTP-Service unnötig offen bleibt. Die Nutzung des Zeitservice durch externe oder unautorisierte Quellen wird reduziert.

Das Step- und Slew-Korrekturmodell behebt Zeitabweichungen sicher

Große anfängliche Abweichungen können durch eine schnelle Korrektur geschlossen werden. Sobald das System betriebsbereit ist, erfolgen Korrekturen nach der Logik eines sanften Slew. So sind Anwendungen nicht von einem plötzlichen Zeitsprung rückwärts betroffen. Log-Reihenfolge und Sitzungsdauern bleiben konsistenter.

Die Synchronisierung der Hardware-Uhr sorgt nach dem Reboot für einen korrekten Start

TR7 kann die Systemuhr und die Hardware-Uhr im Einklang halten. Wird das Gerät neu gestartet, erfolgt selbst vor der Verbindung mit dem Upstream-NTP ein Start nahe der zuletzt bekannten Zeit. Das reduziert das Risiko einer falschen Zeit bei Zertifikats- und Service-Startprozessen. Besonders in geschlossenen oder eingeschränkten Netzwerken ist dies wertvoll.

Die Upstream-Abweichungstoleranz schützt vor fehlerhaften Zeitquellen

TR7 kann große und verdächtige Korrekturen von Upstream-Quellen mit bestimmten Toleranzen bewerten. Vorschläge außerhalb der erwarteten Grenze werden nicht direkt angewendet. Dieses Verhalten erschwert es, dass defekte oder manipulierte Quellen die Plattform-Uhr verfälschen. Die Zuverlässigkeit der Zeitquelle bleibt unter operativer Kontrolle.

Die Wahl der IANA-Zeitzone standardisiert die Log- und Audit-Ansicht

TR7 kann die lokale Zeitanzeige der Plattform über eine umfangreiche Zeitzonenliste verwalten. Die Wahl der Zeitzone sorgt für Konsistenz in Log-, Audit-, Dashboard- und Reporting-Ansichten. In mehrregionalen oder länderbasierten Deployments arbeiten lokale Betriebsteams mit dem korrekten Zeitkontext. Die Trennung von UTC und lokaler Zeit wird kontrollierter verwaltet.

Das Dashboard zeigt Sync-Status, Offset und Referenzinformationen

Der Betreiber kann den Zeit-Sync-Status von TR7 live einsehen. Informationen wie Offset, Drift, Referenzquelle, Stratum und Sync-Status werden über das Dashboard überwacht. Ist der Sync gestört, geht das Problem nicht nur in Log-Dateien verloren, sondern wird im zentralen Verwaltungspanel sichtbar. Das beschleunigt die Reaktion auf Vorfälle.

Cluster-Knoten synchronisieren unabhängig und bleiben Failover-bereit

Im HA-Cluster synchronisiert jeder Knoten seine eigene Uhr unabhängig aus den Upstream-Quellen. Beim Failover wird erwartet, dass auch der neue aktive Knoten die korrekte Zeit trägt. Dieses Modell ist einfach, robust und operativ verständlich. Die Definition mehrerer Upstream-Quellen erhöht die Zuverlässigkeit für beide Knoten.

Bietet eine gemeinsame Zeitbasis für Sicherheitsfunktionen

SSL/TLS-Zertifikatsvalidierung, ACME-Erneuerung, TOTP/MFA-Fenster, Audit-Zeitstempel, Session-TTL-Werte und Lizenz-Grace-Perioden hängen von der korrekten Zeit ab. Der TR7 NTP-Service bietet die gemeinsame Zeitbasis dieser Funktionen. Eine Zeitabweichung ist nicht nur ein NTP-Problem, sondern ein Problem der Plattformsicherheit. Daher ist das NTP-Management in TR7 Teil der operativen Infrastruktur.

Reduziert in geschlossenen und souveränen Infrastrukturen die externe NTP-Fläche

In Air-Gapped-, Sovereign-Cloud- oder streng regulierten Umgebungen ist es nicht erwünscht, dass jeder Server zu externem NTP ausgeht. TR7 kann der einzige kontrollierte Ausgangspunkt zu den festgelegten Upstream-Quellen sein. Interne Komponenten beziehen die Zeit nur von TR7. Dieses Modell reduziert die Anzahl der Firewall-Regeln, die externe Abhängigkeit und die operative Komplexität des Rechenzentrums.

Operative Tiefe

Der NTP-Service ist nicht nur Uhrzeiteinstellung; er ist ein grundlegender Plattform-Service, der die Zertifikats-, Zugriffs-, Audit-, HA- und Compliance-Schichten beeinflusst.

01

Erstes Sync-Fenster

Beim ersten Systemstart erfolgt eine schnelle Synchronisierung aus den Upstream-Quellen. Bevor dieser Prozess abgeschlossen ist, sollte der Downstream-NTP-Service nicht als zuverlässig betrachtet werden. TR7 geht die Zeitverteilung ins interne Netz, ohne die eigene Uhr verifiziert zu haben, mit Bedacht an.

02

HA-Verhalten

Jeder Cluster-Knoten führt seine Zeitsynchronisierung unabhängig durch. Beim Failover nutzt der neue aktive Knoten seine eigene aktuelle Uhrzeit. Die Upstream-Quellen müssen von beiden Knoten aus erreichbar sein.

03

Allow-List-Management

Der NTP-Service sollte nicht unnötig für alle offen gelassen werden. Client-Subnetze, IP-Bereiche und Netzwerkbereiche sollten explizit definiert werden. Änderungen sollten unter Audit überwacht werden.

04

Zeitabweichungs-Warnungen

Offset- und Drift-Werte sind ein operativer Gesundheitsindikator. Wächst die Abweichung, können Zertifikats-, MFA- und Audit-Verhalten betroffen sein. Dashboard- und Alarm-Integrationen sollten die Zeitgesundheit sichtbar machen.

05

Audit-Auswirkung

NTP-Einstellungsänderungen, Wechsel der Upstream-Quelle, Aktualisierung der Allow-List und Zeitzonenänderungen sollten in den Audit-Trail aufgenommen werden. Bei einer Untersuchung nach einem Vorfall kann es eine kritische Information sein, wer die Zeiteinstellung geändert hat. Diese Einträge können in den SIEM-Stream einbezogen werden.

06

Compliance-Nachweis

In Frameworks wie PCI-DSS, ISO 27001, HIPAA und ähnlichen ist eine konsistente Zeitquelle eine wichtige Kontrolle. TR7 kann nachweisen, dass die internen Systeme mit derselben NTP-Quelle verbunden sind und die Zeitgesundheit zentral überwacht wird. In mandantenfähigen Umgebungen erzeugt die netzwerkbereichsbasierte Trennung zusätzlichen Nachweiswert.

In welchen Szenarien wird es eingesetzt

Eine einzige zentrale NTP-Quelle im Rechenzentrum

Die Organisation leitet ihre Server und Netzwerkgeräte auf TR7 um, statt sie einzeln zu externem NTP auszuleiten. Der externe Zeitzugriff wird an einem Punkt gebündelt, Überwachung und Firewall-Management werden vereinfacht.

Isolierter Zeitservice in einer mandantenfähigen SaaS-Umgebung

Jeder Mandant bezieht NTP über die TR7-VIP in seinem eigenen Netzwerkbereich. Der Zeitverkehr der Mandanten wird getrennt, und die Mandantenisolation erstreckt sich bis zur Zeitschicht.

Externe NTP-Abhängigkeit in Container-Umgebungen reduzieren

Dynamische Container- und Pod-Umgebungen nutzen TR7 als zentrale Zeitquelle. Neu entstehende Workloads beziehen synchronisierte Zeit intern, ohne zu externem NTP auszugehen.

Kontrollierte Zeitverteilung in einem souveränen oder geschlossenen Netzwerk

In Umgebungen mit eingeschränkter externer Anbindung geht nur TR7 zum Upstream-NTP aus. Interne Systeme beziehen die Zeit über TR7, ohne sich direkt nach außen zu öffnen.

Konsistente Uhr für MFA und Zertifikatsvalidierung

TOTP-Codes, Zertifikatsgültigkeit und Sitzungsdauern hängen von der korrekten Zeit ab. Der TR7 NTP-Service sorgt dafür, dass diese Sicherheitskontrollen auf derselben Zeitreferenz beruhen.

Häufig gestellte Fragen

Kann TR7 gleichzeitig als NTP-Client und NTP-Server arbeiten?
Ja. Die Zeitsynchronisierungsschicht von TR7 übernimmt diese beiden Rollen gleichzeitig. Sie synchronisiert ihre eigene Uhr aus Upstream-NTP-Pools; gleichzeitig stellt sie Servern, Netzwerkgeräten und Container-Umgebungen im internen Netz über UDP 123 einen NTP-Service bereit. So muss nicht jedes interne System eine separate Verbindung zu externem NTP aufbauen.
Wie wird der Zeitverkehr der Mandanten in einer mandantenfähigen Umgebung getrennt?
Der TR7 NTP-Service kann über einen bestimmten Netzwerkbereich und eine VIP bereitgestellt werden. Jeder Mandant verbindet sich mit der VIP in seinem eigenen Netzwerkbereich; der Zeitverkehr wird auf Betriebssystemebene getrennt gehalten. Die NTP-Anfragen eines Mandanten sind im Netzwerk eines anderen Mandanten nicht sichtbar. Dieses Modell nutzt dieselbe Isolationsschicht wie die vservice-cross-namespace-routing-Infrastruktur.
Wie funktioniert die Allow-List und welche Quelltypen kann sie abdecken?
Der Betreiber definiert die Quellen, die von TR7 NTP beziehen dürfen, nach Subnetz, bestimmter IP-Adresse oder Netzwerkbereich. Anfragen von Clients außerhalb der Liste werden abgelehnt. Diese Struktur stellt sicher, dass der NTP-Service nur die interne Infrastruktur bedient, und verhindert, dass unautorisierte Quellen die Zeit beziehen.
Wie verhält sich das System bei einer großen Uhrabweichung?
Wird bei der ersten Synchronisierung eine große Abweichung festgestellt, wird eine schnelle Korrektur angewendet. Nachfolgende Korrekturen erfolgen nach der Logik eines sanften Slew; laufende Anwendungen erleben keinen Zeitsprung rückwärts. Dieses Verhalten ist für die Audit-Log-Reihenfolge, Sitzungsdauern und die Konsistenz verteilter Transaktionen entscheidend.
Zu welchen Sicherheits- und Compliance-Frameworks trägt der NTP-Service bei?
Frameworks wie PCI-DSS, ISO 27001 und HIPAA stellen die Anforderung einer auditierbaren und konsistenten Zeitsynchronisierung. TR7 erleichtert den Nachweis, dass alle internen Systeme mit derselben NTP-Quelle verbunden sind und die Zeitgesundheit zentral überwacht wird. NTP-Einstellungsänderungen werden im Audit-Log erfasst; sie können in den SIEM-Stream einbezogen werden.
Wie wird die Zeitkontinuität während eines Failovers im HA-Cluster gewährleistet?
Jeder Cluster-Knoten synchronisiert seine eigene Uhr unabhängig aus den Upstream-NTP-Quellen. Beim Failover verfügt der neue aktive Knoten bereits über die aktuelle Uhrzeit; für die Clients entsteht keine Unterbrechung der Zeitkontinuität. Die Definition mehrerer Upstream-Quellen erhöht die Zuverlässigkeit für beide Knoten.

Verwalten Sie Ihre Zeitinfrastruktur unter einer einzigen Plattform

Upstream-NTP-Synchronisierung, Verteilung an die interne Infrastruktur, netzwerkbereichsbasierte Isolation und zentrales Dashboard. Lassen Sie uns Sie mit einer Live-Installation in Ihrer eigenen Umgebung durch alles führen.