Hast du Ingress UDP SRC-Port 123 offen?
Die Netcup Firewall ist für UDP stateless, d.h. du musst die Antworten auch explizit reinlassen. Dass Pakete mit der Adress-Port-Kombination rausgegangen sind, öffnet die Firewall nicht für die Pakete in der umgekehrten Richtung.
Welche Ports du öffnen musst, ist keine einfache Frage. Du weißt, dass die Antwort von Port 123 kommt, weil du dahin die Anfrage schickst, aber der Port auf deiner Seite hängt vom Client ab. Systemd-timesyncd nutzt die Ephemeral Port Range als ausgehenden Port.
Mit nc -z -u checkst du nur, ob du eine Ablehnung bekommst. Eine erfolgreiche Ausführung heißt nicht, dass du überhaupt eine Antwort bekommen hast.
Daran lag's. Ich danke euch beiden. Wieder was gelernt!
Jetzt funktionieren auch meine Logins mit OTP wieder wie sie sollen ![]()