NTPd wie so sicher konfiguriern, dass er aber noch geht

[cmathaes]

Hallo,

ich habe schon eine Weile hier und im Netz gesucht und hoffe, nichts übersehen zu haben. Aber ich komme nicht drauf.

Ich habe ntp aus den Quellen 4.2.4 als Paket gebaut und installiert (Debian testing).

ntpdate geht. Der Daemon eigentlich auch, aber wenn ich ihn versuche abzusichern, geht nichts mehr.

Konkret:

In der ntp.conf habe ich die Server eingetragen, Logfiles etc. steht alles drin.
Der eigentliche Knackpunkt sind die ACL's:

nehme ich

Code: Alles auswählen

restrict default ignore
restrict 127.0.0.1

läuft der Daemon zwar, bewirkt aber nichts, da er keine Zeitserver erreichen kann (kein reach).

Nehme ich dagegen

Code: Alles auswählen

restrict default kod notrap nomodify nopeer noquery
restrict 127.0.0.1

wird brav synchronisiert.

Nun möchte ich aber eigentlich wirklich nur per localhost Abfragen machen dürfen; der Rest darf nichts, außer eben Zeit liefern (ich weiß, ziemlich egoistisch ).
Was muss man aber scheinbar doch den Zeitservern erlauben, damit der Zeitabgleich klappt?
Und wie stellt man das ein, ohne dass gleich noch mehr Tore geöffnet werden?

Vielen Dank für Eure Hilfe!

Carsten.