Группа безопасности для сервера AWS NTP

Вам необходимо разрешить исходящий трафик на 0.0.0.0/0 через порт 123 в вашей группе безопасности, чтобы NTP работал.

Если ваш экземпляр EC2 находится в общедоступной подсети, вам нужно разрешить это только в вашей группе безопасности.

Но если ваш экземпляр EC2 находится в частной подсети, вам необходимо разрешить входящий и исходящий трафик через порт 123, чтобы ваш NAT мог передавать запросы и ответы. Входящий трафик требуется от вашего экземпляра EC2 (а не от всего мира).

Согласно документу AWS

Протокол сетевого времени (NTP) настроен по умолчанию в инстансах Amazon Linux; однако для работы стандартной конфигурации NTP экземпляру требуется доступ к Интернету. Группа безопасности вашего экземпляра также должна разрешать исходящий трафик UDP через порт 123 (NTP)
источник: http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/set-time.html

Поэтому нам нужно разрешить исходящий трафик на 0.0.0.0/0 через порт 123 в группе безопасности для работы NTP.

Для тех, кто зашел совсем недавно, у AWS теперь есть собственные серверы времени: https://aws.amazon.com/blogs/aws/keeping-time-with-amazon-time-sync-service/ (и еще раз повторюсь: вам нужно время синхронизировать на виртуальных машинах AWS, в противном случае они будут заметно дрейфовать через пару месяцев).

Чтобы использовать их, вам нужно настроить свой NTP-сервер (ntpd или chronyd) для использования сервера 169.254.169.123 и, конечно же, открыть группы безопасности для исходящего трафика на порту 123/udp. Этот волшебный IP-адрес находится в AWS, поэтому он не выходит за пределы VPC или в Интернет.

Просто отметим, что обычно включают несколько серверов и позволяют вашему клиенту вычислять время со всех из них. В случае с AWS, хотя это всего лишь один IP-адрес, вы общаетесь с несколькими серверами, и поэтому вам не нужно специально использовать несколько IP-адресов. Если вам разрешено использовать интернет-серверы NTP, а также серверы AWS, то нет ничего плохого в настройке нескольких, возможно, с параметром prefer на сервере AWS.

Нет необходимости открывать входящий трафик для NTP, нужен только исходящий доступ. Пока ваш экземпляр может подключаться к Интернету, адрес пула ntp может быть разрешен.

Поэтому откройте свой исходящий адрес/порты и убедитесь, что ваш экземпляр может подключаться к Интернету напрямую, через NAT или каким-либо другим способом.