¿Está abierto el puerto 123 de NTP?

Respuesta rápida

UDP 123

Qué es y para qué sirve

NTP sincroniza la hora del sistema entre clientes y servidores de tiempo de referencia. Es especialmente crítico en entornos con Active Directory (Kerberos depende de una hora sincronizada), en clústeres, y en cualquier sistema que registre logs con marca de tiempo.

Cuándo conviene comprobarlo

• Diagnosticar por qué un servidor o equipo tiene la hora desincronizada.
• Verificar que un servidor NTP interno responde correctamente antes de apuntar todos los clientes a él.
• Comprobar si el firewall bloquea la sincronización hacia servidores NTP externos.

Motivos habituales por los que aparece cerrado o filtrado

• El firewall bloquea el UDP 123 saliente hacia servidores NTP públicos.
• El servicio de hora del sistema está detenido o mal configurado con un servidor NTP inaccesible.
• Un desfase horario grande hace que el propio cliente NTP rechace la sincronización por seguridad hasta corregirse manualmente.

Cómo comprobarlo por línea de comandos

Para comprobar la sincronización real, no solo el puerto, usa "w32tm /stripchart /computer:servidor" en Windows o "ntpdate -q servidor" / "chronyc sources" en Linux.

Windows (PowerShell):

Test-NetConnection servidor -Port 123

Linux / macOS:

nc -uvz servidor 123

Firewall

Abre el 123 saliente hacia el servidor NTP de referencia que uses (interno o público) y, si el propio servidor ofrece hora a otros equipos, el 123 de entrada desde esos clientes.

Seguridad

• Restringir qué clientes pueden sincronizar contra un servidor NTP propio, para evitar que se use en ataques de amplificación NTP.
• Usar fuentes de tiempo de confianza (los servidores NTP del propio proveedor cloud, o pools públicos conocidos).
• Mantener actualizado el software del servidor NTP (versiones antiguas han tenido vulnerabilidades relevantes).

Servicios relacionados

• DNS (UDP 53)