Azure中公网负载均衡下NTP服务配置故障排查求助

你的问题核心是Azure公网LB的流量转发逻辑和NTP客户端的端口使用方式不匹配导致的，下面给你拆解原因和落地的解决步骤：

核心原因分析 #

正常情况下，NTP客户端发起请求时会使用随机源端口（通常是1024-65535区间），目标端口为NTP服务器的123。NTP服务器的回应包会把目标端口设为这个随机端口、源端口设为123，Azure公网LB的SNAT会话会自动记录这个端口映射，直接把回应包转发回VM，根本不需要额外的LB入站规则。

而你遇到的情况，说明你的NTP客户端大概率在强制使用固定源端口123发起请求。这时候服务器的回应包目标端口是123，LB无法识别这个回包该转发到哪个后端VM（没有对应的会话记录或入站规则引导），所以必须配置LB入站规则允许UDP123才能让回包到达VM。

解决步骤 #

1. 检查并修改NTP客户端配置，禁用固定源端口 #

打开你的/etc/ntp.conf配置文件，排查是否有强制指定源端口的配置：

• 查看是否存在source指令绑定了端口，比如source eth0 port 123
• 检查是否有port指令直接设置了客户端端口

如果有类似配置，删除或注释掉这些行，然后重启NTP服务：

systemctl restart ntpd

2. 确认Azure公网LB的出站规则配置 #

确保公网LB的出站规则已经允许UDP 123的流量：

• 登录Azure门户，找到你的公网负载均衡器
• 切换到「出站规则」选项卡，确认存在允许后端池VM访问UDP 123的规则
• 如果没有，新建一条出站规则：选择对应后端池，协议选UDP，目标端口填123，设置为允许流量

3. 验证VM网络安全组的入站规则 #

确保VM的NSG（网络安全组）入站方向允许UDP 1024-65535的流量（这是NTP回应包的目标端口范围）：

• 进入VM对应的NSG配置页面
• 添加一条入站规则：优先级设为高于默认拒绝规则，协议选UDP，源地址设为任意，目标端口范围填1024-65535，动作设为允许

4. 测试NTP连接有效性 #

完成上述配置后，再次执行测试命令验证：

ntpdate -dq 0.centos.pool.ntp.org

如果配置正确，你应该能看到收到服务器回应的日志，此时不需要依赖LB的UDP123入站规则，NTP服务也能正常运行。

内容的提问来源于stack exchange，提问作者Sumit Jain