封閉網段的時間同步：用 GPS 自建 NTP 時間伺服器

如果你的網段連不到外面，時間要從哪裡來？

金融機房、醫院 PACS、政府內網、工廠的 OT 網段，這些環境為了資安通常不對外連線。但資安稽核又要求全網 log 的時間戳記一致，設備之間對不上時間，事件就無法比對。

常見做法的問題

多數單位的做法是指定一台 Windows Server 當內部時間來源，其他機器跟它對時。問題是那台伺服器自己的時間也只是主機板上的石英振盪器，一天可能漂移數秒，而且沒有任何外部基準可以校正。整個網段的時間會一起慢慢偏掉，看起來很一致，實際上跟真實時間差了多少沒人知道。

另一種做法是在防火牆上開一個洞連外部 NTP。這在稽核上通常過不了，而且 NTP 協定本身沒有加密與驗證，開了就是多一個攻擊面。

GPS 衛星上帶著原子鐘，訊號本身就攜帶精準時間。接收模組除了解出經緯度，也會輸出一個每秒一次的脈衝訊號（PPS），那個脈衝的上升緣就是整秒的瞬間。

把 GPS 模組接上樹莓派，用 PPS 訊號校正系統時間，這台樹莓派就成為 Stratum 1 等級的時間源，可以直接對內網提供 NTP 服務。整個過程不需要對外連線，時間是從天上來的。

天線要看得到天空。這是整套方案唯一的硬性限制。GPS 訊號穿不透樓板，天線必須拉到窗邊、陽台或屋頂。機房如果在地下室，要評估饋線長度與拉線路徑，這通常是安裝時最花時間的部分。

冷啟動需要時間。第一次開機收星、取得完整星曆，通常要幾分鐘到十幾分鐘。這是正常現象，不是故障。

精度取決於配置。PPS 校時的實際精度會受天線位置、收星數量、系統負載與網路延遲影響。如果你的應用有明確的精度要求（例如需要符合特定稽核規範），請在詢價時說明，我們會依需求選型並在交付前實測驗證。

內網不能連外，但需要可信的時間來源。設備數量從幾台到上百台都適用，因為一台時間伺服器可以服務整個網段。

如果你的網路本來就能連外部 NTP，也沒有稽核上的限制，那不需要這套方案，直接對時就好。

這是專案型的方案，會依現場環境（天線路徑、設備數量、機櫃空間、有無工業級需求）選型與報價，目前不以現貨形式販售。

需求討論請來信 [email protected]。信裡如果能說明網段規模、機房位置（幾樓、有無對外窗）、以及是否有明確的稽核規範要符合，第一次回覆就能給比較具體的建議。

相關服務請參考客製整合服務。