- Chrony es una implementación de NTPv4 optimizada para sistemas con conexiones intermitentes y máquinas virtuales, superando al clásico ntpd en velocidad de sincronización.
- La estructura de tiempo se organiza en Stratums, donde el nivel 0 es la referencia atómica y los niveles sucesivos distribuyen la hora a través de la red.
- La gestión se realiza mediante el demonio chronyd y la herramienta de línea de comandos chronyc, permitiendo monitorizar el offset y gestionar fuentes de tiempo.
- El soporte para NTS (Network Time Security) añade una capa de cifrado TLS para prevenir ataques de manipulación de tiempo en la red.
Si alguna vez te has preguntado por qué es tan importante que la hora de tu servidor sea exacta, es porque en el mundo de la informática el tiempo lo es todo. Desde los registros de errores hasta la validación de certificados de seguridad, un desfase de unos pocos segundos puede montar un lío considerable en entornos distribuidos. Para solucionar esto, entra en juego el protocolo NTP (Network Time Protocol), el estándar que permite que los equipos se pongan de acuerdo con la hora real de forma automática y precisa.
Dentro de las implementaciones de este protocolo, Chrony se ha convertido en la opción predilecta para muchos administradores de sistemas Linux. No es solo una alternativa al clásico ntpd, sino una herramienta mucho más flexible y robusta, capaz de manejar situaciones complicadas como conexiones a internet que van y vienen o el uso de máquinas virtuales, donde el reloj suele ser bastante inestable. Vamos a analizar a fondo cómo funciona y cómo sacarle el máximo partido.
Fundamentos del Protocolo NTP y la Jerarquía de Stratums
Para entender Chrony, primero hay que pillar cómo funciona el NTPv4 (definido en el RFC 5905). Este protocolo organiza los servidores en una estructura jerárquica llamada stratums, que básicamente indica la distancia respecto a la fuente de tiempo original. En la cima tenemos el Stratum 0, que son los relojes atómicos o receptores GPS; estos no están conectados directamente a la red, sino que pasan la hora a servidores de Stratum 1, que son los más precisos de la red. A partir de ahí, los equipos de Stratum 2 se sincronizan con los de nivel 1, y así sucesivamente.
Es fundamental mencionar que NTP utiliza el puerto 123 mediante el protocolo UDP. Además, existen variantes como SNTP (Simple NTP), que es una versión recortada ideal para dispositivos sencillos como impresoras o switches, y el novedoso NTS (Network Time Security), que añade una capa de cifrado TLS para evitar ataques de tipo Man-in-the-Middle, asegurando que nadie manipule la hora que recibe tu servidor.
¿Por qué elegir Chrony frente al clásico NTPd?
Aunque el daemon ntpd es un veterano, Chrony ha ganado terreno porque es mucho más ágil en la sincronización inicial, tardando apenas unos minutos en estabilizarse frente a las horas que a veces requiere el sistema antiguo. Esto es una bendición para equipos de escritorio o servidores que no están encendidos las 24 horas. Además, Chrony es especialmente eficiente en máquinas virtuales y sistemas con modos de ahorro de energía, ya que reacciona mucho mejor a los cambios bruscos de frecuencia del reloj.
Otro punto clave es que, tras la primera puesta a punto, Chrony no adelanta el reloj del sistema para evitar problemas con aplicaciones que requieren un tiempo monotónico. También se comporta mejor cuando la red está saturada por descargas pesadas y no necesita estar preguntando constantemente a los servidores, lo que lo hace ideal para conexiones intermitentes. Eso sí, para servidores que nunca se apagan y tienen una energía constante, el NTP clásico sigue siendo una opción muy sólida.
Instalación y puesta en marcha en diversas distribuciones
Dependiendo de la distro que uses, el proceso varía ligeramente, aunque hoy en día Chrony viene por defecto en sistemas como RHEL o SUSE. En entornos basados en Debian, Ubuntu o Linux Mint, puedes dejarlo listo ejecutando apt install chrony. Por otro lado, si usas OpenSUSE, el comando sería zypper -i chrony, mientras que en Oracle Linux se utiliza dnf install chrony.
Una vez instalado, lo más importante es que el servicio se inicie y se quede activo tras reiniciar. Para ello, usamos systemctl enable chronyd y luego systemctl start chronyd. Si ya tenías instalado el servicio ntp o ntpd, es imprescindible desactivarlos primero para evitar conflictos, ya que dos demonios intentando ajustar el reloj a la vez es receta para el desastre.
Configuración detallada del archivo chrony.conf
El corazón de la herramienta está en el archivo /etc/chrony/chrony.conf (o /etc/chrony.conf en algunas distros). Aquí es donde definimos de dónde vamos a sacar la hora. Tenemos tres directivas principales: server para un servidor específico, pool para un grupo de servidores (que es lo más común para mayor redundancia) y peer para crear una relación de igualdad entre dos equipos.
Para darle más calidad a la sincronización, existen parámetros avanzados. La directiva iburst permite enviar una ráfaga de solicitudes al inicio para sincronizar el reloj casi al instante. También encontramos el driftfile, que es un archivo donde Chrony anota la velocidad a la que el reloj local gana o pierde tiempo, permitiéndole corregir la desviación incluso antes de conectar con la red. Si quieres que tu servidor dé la hora a otros equipos de tu red local, debes usar la directiva allow seguida de la IP o subred permitida.
Herramientas de control y monitorización con Chronyc
Para saber si todo va sobre ruedas, contamos con la utilidad de línea de comandos chronyc. El comando chronyc tracking es el más útil, ya que nos muestra el Reference ID (el servidor actual), el Stratum y el RMS offset, que es básicamente el promedio del error de tiempo a largo plazo. Si ves que el reloj está muy desfasado y quieres arreglarlo ya mismo sin esperar a que el sistema lo haga gradualmente, puedes forzar la sincronización con chronyc makestep.
Para ver la lista de servidores que estamos consultando y cuál es el que hemos elegido como fuente principal (marcado con un asterisco), ejecutamos chronyc sources. Si hemos configurado el servidor para dar servicio a otros, el comando chronyc clients nos permitirá ver qué equipos se están sincronizando con nosotros y cuántas solicitudes han realizado.
Gestión de la zona horaria y el reloj de hardware
No debemos confundir la sincronización del reloj con la zona horaria. Para gestionar el huso horario en Linux, la herramienta estándar es timedatectl. Podemos ver la configuración actual con un simple timedatectl y cambiarla, por ejemplo, a la de Madrid, usando sudo timedatectl set-timezone Europe/Madrid. Para ver todas las zonas disponibles, el comando es timedatectl list-timezones.
Por último, es importante mantener el reloj de hardware (RTC) actualizado. Mientras que el sistema operativo maneja el reloj en memoria, el RTC es el que persiste al apagar el equipo. Podemos usar hwclock -w para copiar la hora del sistema al hardware. Chrony también ofrece la directiva rtcsync, que automatiza este proceso copiando la hora al RTC periódicamente, generalmente cada 11 minutos en Linux.
Dominar Chrony implica entender desde la jerarquía de los estratums NTP hasta la gestión de los archivos de configuración y el uso de chronyc para la monitorización. Ya sea configurando servidores oficiales como los del Real Observatorio de la Armada o implementando seguridad con NTS, esta herramienta garantiza que nuestros sistemas mantengan una precisión milimétrica, evitando fallos en aplicaciones críticas y asegurando la coherencia de los logs en toda la infraestructura.