Как настроить NTP сервер в Windows 2003
Как настроить NTP сервер в Windows 2003
Как настроить NTP сервер в Windows 2003
Всем привет сегодня немного архаизма, как настроить NTP сервер в Windows 2003. Стандартный список ролей сервера Windows 2003 не включает в себя сервер времени (NTP). Однако это не означает, что в Windows 2003 его нет. На самом деле в состав Windows 2003 входит служба времени W32Time, и настраивается она через реестр. Для настройки W32Timeдля синхронизации с внешним источником времени необходимо выполнить следующие операции:
1. Устанавливаем тип сервера — «Сервер времени». Для этого открываем редактор реестра и в ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parametersизменяем значение строкового параметра Type на NTP.
2. В ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Configменяем значение параметра DWORD AnnounceFlags на 5.
3. Включаем NTP-сервер. В ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServerменяем значение параметра Enabled на 1.
4. Указываем источники, с которыми синхронизируется наш NTP-сервер. В ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\NtpServerменяем значение параметра NtpServer на europe.pool.ntp.org,0x1. Если требуется указать в качестве источников времени несколько серверов, то ставим между ними пробелы. Например,europe.pool.ntp.org,0x1 asia.pool.ntp.org,0x1. После каждого источника времени необходимо вводить символы ,0x1.
5. Задаем интервал опроса источников времени (в секундах). В ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpClientменяем значение параметра SpecialPollInterval на 900 (в десятичной системе счисления). 900 секунд — рекомендация Microsoft. Можете использовать любое значение параметра, которое сочтете нужным.
6. Задаем максимальную величину коррекции времени. В ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Configменяем значение параметров MaxPosPhaseCorrection и MaxNegPhaseCorrection на 3600(в десятичной системе счисления).
7. Закрываем редактор реестра и перезапускаем службу времени:
Настройка ntp сервера windows 2003
Управление временем — один из ключевых аспектов системного администрирования. Как правило, все клиентские серверы и рабочие станции синхронизируют время с доменом Active Directory, однако откуда берется точное время в AD? Это зависит от разных факторов. В стандартной конфигурации время синхронизируется с серверами Microsoft, а виртуальные машины обычно получают данные от хост-сервера.
Лучше всего задать единый источник данных о точном времени для всех компьютеров в корпоративной сети — сервер (или несколько серверов), с которым будут синхронизироваться все системы. Это может быть ресурс или пул ресурсов в Интернете, либо локальный сервер. Так или иначе, с источником точного времени стоит определиться заранее.
За синхронизацию компьютеров и серверов Windows отвечает сетвой протокол Network Time Protocol (NTP). NTP использует для своей работы протокол UDP порт по умолчанию 123. Что бы в дальнейшем можно было настроить работу этого сетевого протокола, необходимо проверить, не блокирует ли этот порт фаерволл.
Способы указания NTP Сервера.
1) Команда w32tm позволяет задать список пиров, предоставляющих информацию о точном времени для домена. Чтобы получить дополнительные сведения о команде w32tm, введите в командной строке указанную команду w32tm /?
Первым, что необходимо сделать, это выяснить в каком состоянии находятся контролеры домена в домене. Для этого запускаем в командной строке команду (если у вас права доменного администратора, то можете запустить командную строку на своей рабочей станции)
w32tm /monitor — команда позволяет посмотреть с каким сервером (серверами)/сервисом происходит синхронизация и какая разница во времени с эталонным севером.
w32tm /config /manualpeerlist:time.windows.com /syncfromflags:manual /reliable:yes /update — этой командой мы указываем с каким сервисом/сервером будет происходить синхронизация ( в данном примере с time.windows.com).
Эта команда выполняется на контроллере домена однократно и записывает указанные адреса в реестр ( по пути HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\Parametrs в параметре NTPServer должно быть прописано time.windows.com). Можно указать сразу несколько серверов, разделенных пробелами.
NoSync— Служба времени не синхронизируется с другими источниками.
NTP- Служба времени выполняет синхронизацию с серверами, указанными в записи реестра NtpServer.
NT5DS- Служба времени выполняет синхронизацию на основе иерархии домена.
AllSync- Служба времени использует все доступные механизмы синхронизации.
Значение CrossSiteSyncFlags выбираем 2.
CrossSiteSyncFlags. Определяет возможность выбора службой партнеров по синхронизации за пределами домена компьютера.
Нет 0
PdcOnly 1
Все 2
В значении ResolvePeerBackoffMinutes прописываем 15
ResolvePeerBackoffMinutes- указывает первоначальный интервал ожидания (в минутах) перед тем, как начать поиск узла одноранговой сети для синхронизации. Если службе времени Windows не удается успешно синхронизироваться с источником времени, будут выполняться повторные попытки с использованием указанных значений параметров ResolvePeerBackoffMinutes и ResolvePeerBackoffMaxTimes.
В значении ResolvePeerBackoffMaxTimes прописываем 7
ResolvePeerBackoffMaxTimes- указывает максимальное число раз удвоения интервала ожидания в случае, если повторяющиеся попытки поиска узла одноранговой сети для синхронизации не дали результата. Нулевое значение предполагает, что интервал ожидания всегда равен первоначальному, указанному в параметре ResolvePeerBackoffMinutes.
В значении SpecialPollInterval прописываем 3600
SpecialPollInterval- указывает интервал специального опроса (в секундах) для узлов одноранговой сети, настроенных вручную. Если специальный опрос включен, то служба времени Windows будет использовать его интервал вместо динамического значения, определяемого с помощью алгоритмов синхронизации, встроенных в службу времени Windows.
Если вы создали политику, то ее нужно применить на все контролеры домены.
Настройка основного сервера времени в Windows Server 2003
Введение
В состав Windows входит служба времени W32Time, необходимая для работы протокола проверки подлинности Kerberos. Служба времени предназначена для синхронизации времени в рамках организации на компьютерах под управлением Microsoft Windows 2000 или более поздней версии Windows.
Служба времени Windows использует иерархическую структуру отношений, которая не допускает возникновения «циклов» в управлении и обеспечивает корректную синхронизацию времени. По умолчанию компьютеры под управлением Windows подчиняются следующей иерархии.
• Все клиентские компьютеры используют в качестве источника времени контроллер домена, проверяющий их подлинность.
• То же самое происходит на рядовых серверах.
• Все контроллеры домена используют в качестве источника времени хозяина операций основного контроллера домена (PDC).
• При выборе источника времени хозяева операций основного контроллера домена следуют иерархии доменов.
В данной иерархии хозяин операций PDC, расположенный в корневом домене леса, становится основным сервером времени для всей организации. Корпорация Майкрософт рекомендует, чтобы основной сервер времени получал значения времени от внутреннего источника. Если основной сервер времени получает эти данные от источника времени в Интернете, проверка подлинности не выполняется. Кроме того, корпорация Майкрософт рекомендует уменьшить значения параметров, определяющих максимальную величину коррекции времени для серверов и рядовых компьютеров. Это позволит более точно устанавливать время на компьютерах в домене и повысит уровень их безопасности.
Настройка службы времени Windows на использование системных часов
Неправильное использование редактора реестра может привести к возникновению серьезных неполадок, требующих переустановки операционной системы. Корпорация Майкрософт не несет ответственности за неправильное использование редактора реестра. При изменении реестра полагайтесь на свой опыт и знания.
Чтобы служба времени на компьютере, являющемся хозяином операций PDC, не использовала внешний источник времени, необходимо изменить параметр реестра AnnounceFlags. Хозяином PDC называется сервер, исполняющий роль эмулятора PDC корневого домена леса. Данное изменение конфигурации предписывает хозяину PDC сообщать о себе как о надежном источнике времени и использовать часы, встроенные в микросхему CMOS. Чтобы служба времени хозяина PDC использовала в качестве источника времени внутренние часы компьютера, выполните следующие действия.
1. Нажмите кнопку Пуск, выберите пункт Выполнить, введите команду regedit и нажмите кнопку ОК.
2. Найдите и выделите следующий раздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\AnnounceFlags
3. На правой панели щелкните правой кнопкой мыши параметр AnnounceFlags и выберите команду Изменить.
4. В появившемся окне Изменение параметра DWORD в поле Значение введите символ A и нажмите кнопку ОК.
5. Закройте редактор реестра.
6. Перезапустите службу времени. Для этого введите в командной строке следующую команду и нажмите клавишу ВВОД:
net stop w32time && net start w32time
Примечание. Служба времени хозяина PDC не должна быть настроена на синхронизацию с самим хозяином PDC. Если служба времени хозяина PDC настроена на синхронизацию с самим хозяином PDC, то в журнале событий приложений будут регистрироваться следующие события.
NTP-клиент поставщика времени не может достичь или получает неправильные данные о времени от 192.168.1.1 (ntp.m|0x0|192.168.1.1:123->192.168.1.1:123).
Правильный ответ от контроллера домена 192.168.1.1 не был получен после 8 попыток обращения. Этот узел не будет использоваться в качестве источника времени, а NTP-клиент попытается найти новый узел с этим DNS-именем.
NTP-клиент поставщика времени настроен на получение времени из одного или нескольких источников, однако ни один из этих источников не доступен. Попытки подключения к источнику не будут выполняться в течение 960 мин. NTP-клиент не имеет источника правильного времени.
Если служба времени хозяина PDC не использует внешний источник времени, то в журнале событий приложений будет регистрироваться следующее событие.
NTP-клиент поставщика времени: этот компьютер использует доменную структуру для определения своего источника времени, но для этого домена в корне леса находится PDC-эмулятор, поэтому нет компьютера, расположенного выше в доменной иерархии, который можно использовать как источник времени. Рекомендуется настроить надежную службу времени в корневом домене либо вручную настроить PDC для синхронизации с внешним источником времени. В противном случае этот компьютер будет выступать в роли авторизованного источника времени в доменной структуре. Если внешний источник времени не настроен или не должен использоваться для этого компьютера, возможно, следует отключить NTP-клиент.
Данное сообщение напоминает о том, что рекомендуется использовать внешний источник времени, и может быть проигнорировано.
Настройка службы времени Windows на использование внешнего источника времени
Чтобы настроить внутренний сервер службы времени на синхронизацию с внешним источником времени, выполните следующие действия.
1. Измените тип сервера на NTP. Для этого выполните следующие действия. a. Нажмите кнопку Пуск, выберите пункт Выполнить, введите команду regedit и нажмите кнопку ОК.
b. Найдите и выделите следующий раздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\Type
c. На правой панели щелкните правой кнопкой мыши параметр Type и выберите команду Изменить.
d. В появившемся окне Изменение строкового параметра в поле Значение введите NTP и нажмите кнопку ОК.
2. Присвойте параметру AnnounceFlags значение 5. Для этого выполните следующие действия. a. Найдите и выделите следующий раздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\AnnounceFlags
b. На правой панели щелкните правой кнопкой мыши параметр AnnounceFlags и выберите команду Изменить.
c. В появившемся окне Изменение параметра DWORD в поле Значение введите 5 и нажмите кнопку ОК.
3. Включите сервер NTP. Для этого выполните следующие действия. a. Найдите и выделите следующий раздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer\Enabled
b. На правой панели щелкните правой кнопкой мыши параметр Enabled и выберите команду Изменить.
c. В появившемся окне Изменение параметра DWORD в поле Значение введите 1 и нажмите кнопку ОК.
4. Укажите источник времени. Для этого выполните следующие действия. a. Найдите и выделите следующий раздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\NtpServer
b. На правой панели щелкните правой кнопкой мыши параметр NtpServer и выберите команду Изменить.
c. В появившемся окне Изменение строкового параметра укажите Перечень_источников_времени в поле Значение и нажмите кнопку ОК.
Примечание. Перечень_источников_времени представляет собой перечень узлов, предоставляющих данные о текущем времени. Для разделения имен узлов в списке используются пробелы. Все имена DNS в данном списке должны быть уникальными. В конце каждого имени DNS необходимо добавлять символы ,0x1. Если данные символы не были добавлены, то изменения, вносимые на шаге 5, не вступят в силу.
5. Задайте интервал опроса. Для этого выполните следующие действия. a. Найдите и выделите следующий раздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpClient\SpecialPollInterval
b. На правой панели щелкните правой кнопкой мыши параметр SpecialPollInterval и выберите команду Изменить.
c. В появившемся окне Изменение параметра DWORD укажите Интервал_в_секундах в поле Значение и нажмите кнопку ОК.
Примечание. Интервал_в_секундах представляет собой интервал времени (в секундах) между двумя опросами. Рекомендуется указать для него значение 900. При этом опрос будет выполняться каждые 15 минут.
6. Задайте параметры, определяющие максимальную величину коррекции времени. Для этого выполните следующие действия. a. Найдите и выделите следующий раздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxPosPhaseCorrection
b. На правой панели щелкните правой кнопкой мыши параметр MaxPosPhaseCorrection и выберите команду Изменить.
c. В диалоговом окне Изменение параметра DWORD в разделе Система исчисления выберите значение Десятичная.
d. В появившемся окне Изменение параметра DWORD укажите Интервал_в_секундах в поле Значение и нажмите кнопку ОК.
Примечание. Интервал_в_секундах может являться любым значением в разумных пределах (например, 1 час (3600) или 30 минут (1800)). Данное значение выбирается исходя из величины интервала опроса, состояния сети и типа внешнего источника времени.
e. Найдите и выделите следующий раздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxNegPhaseCorrection
f. На правой панели щелкните правой кнопкой мыши параметр MaxNegPhaseCorrection и выберите команду Изменить.
g. В диалоговом окне Изменение параметра DWORD в разделе Система исчисления выберите значение Десятичная.
h. В появившемся окне Изменение параметра DWORD укажите Интервал_в_секундах в поле Значение и нажмите кнопку ОК.
Примечание. Интервал_в_секундах может являться любым значением в разумных пределах (например, 1 час (3600) или 30 минут (1800)). Данное значение выбирается исходя из величины интервала опроса, состояния сети и типа внешнего источника времени.
7. Закройте редактор реестра.
8. Перезапустите службу времени. Для этого введите в командной строке следующую команду и нажмите клавишу ВВОД:
net stop w32time && net start w32time
Устранение неполадок
Для нормального функционирования службы времени Windows необходима работающая сетевая инфраструктура. В большинстве случаев ошибки в работе службы времени Windows вызваны следующими причинами.
• При обмене данными по протоколу TCP/IP возникают сбои (например из-за неработающего шлюза).
• Неправильно работает служба разрешения имен.
• При прохождении пакетов по сети возникают значительные задержки (особенно если для синхронизации используются медленные каналы глобальной сети).
• Служба времени Windows пытается выполнить синхронизацию с источниками, сообщающими неправильные данные.
Для устранения неполадок, вызванных сбоями в работе сети, корпорация Майкрософт рекомендует использовать средство Netdiag.exe, входящее в набор Windows Server 2003 Support Tools. За сведениями о параметрах командной строки, поддерживаемых приложением Netdiag.exe, обратитесь к справке по набору средств поддержки. Если решить проблему не удается, включите журнал отладки службы времени Windows. Поскольку журнал отладки может содержать большой объем служебной информации, при использовании журнала отладки рекомендуется обращаться в службу поддержки продуктов Майкрософт. Полный список телефонов служб поддержки, а также сведения об условиях обслуживания см. на веб-узле корпорации Майкрософт по адресу:
http://support.microsoft.com/default.aspx?scid=fh;[ln];cntactms
Примечание. В отдельных случаях, если специалистом службы технической поддержки Майкрософт будет определено, что решением проблемы является специально выпущенное исправление, оплата, предусмотренная за обращение в службы технической поддержки, может быть отменена. Дополнительные услуги по технической поддержке, не связанные с данным исправлением, оплачиваются на стандартных условиях
Дополнительная информация
Конфигурация надежного источника времени
Компьютер, выбранный в качестве надежного источника времени, является корнем службы времени Windows. Данный компьютер выступает в качестве авторизованного сервера времени для домена и, как правило, получает информацию о текущем времени от внешнего сервера NTP или от системных часов. Чтобы оптимизировать процесс синхронизации времени в иерархии доменов, можно настроить сервер службы времени в качестве надежного источника времени. Если контроллер домена является надежным источником времени, то при подключении данного контроллера домена к сети служба Net Logon отправляет оповещение, что данный компьютер является надежным источником времени. Когда остальные контроллеры домена будут искать источник времени для синхронизации, в первую очередь они будут обращаться к надежному источнику времени, если он доступен.
Синхронизация вручную
При синхронизации вручную можно указать один или несколько удаленных узлов, с которых компьютер будет получать сведения о времени. Если компьютер не является членом домена, то его необходимо вручную настроить на синхронизацию с выбранным источником времени. Компьютеры, входящие в домен, по умолчанию используют синхронизацию на основе иерархии доменов. Первый контроллер корневого домена и компьютеры, не входящие в домен, как правило, используют синхронизацию вручную. Если компьютер, являющийся основным сервером времени для данного домена, вручную настроен на выполнение синхронизации с внешним NTP-сервером, то домен получает надежную информацию о времени. Однако для повышения защищенности домена и получения более точных значений времени рекомендуется выполнять синхронизацию авторизованного компьютера с системными часами.
Если подобный источник времени отсутствует, служба W32time будет работать в режиме NTP. Для работы службы времени необходимо указать значения параметров реестра MaxPosPhaseCorrection и MaxNegPhaseCorrection. Рекомендуется использовать значения, не превышающие 15 минут. Конкретное значение зависит от источника времени, состояния сети и требований к безопасности. Данное требование относится также к любому надежному источнику времени, являющемуся корневым источником времени в схеме синхронизации времени. Дополнительные сведения о параметрах MaxPosPhaseCorrection и MaxNegPhaseCorrection см. в разделе «Параметры реестра, используемые службой времени Windows» данной статьи.
Примечание. Если для источников времени, указанных вручную, не создан отдельный поставщик времени, то эти источники не могут проходить проверку подлинности, что делает их уязвимыми для атак. Кроме того, если компьютер осуществляет синхронизацию с источником времени, заданным вручную, а не с контроллером домена, выполняющим проверку подлинности данного компьютера, то может произойти рассинхронизация компьютера и контроллера домена, что вызовет сбои при выполнении действий, требующих проверки подлинности в сети (например, при доступе к общим файлам или при печати на сетевом принтере), а также при выполнении проверки подлинности Kerberos. Если синхронизацию с внешним источником времени осуществляет только корневой компьютер, то все компьютеры в домене будут синхронизированы друг с другом, что повышает их защищенность.
Все доступные способы синхронизации
Данный метод синхронизации является наиболее подходящим для пользователей сети, поскольку он позволяет выполнять синхронизацию на основе иерархии домена, а также (в зависимости от конфигурации) допускает использование альтернативных источников времени, если синхронизация на основе иерархии домена становится недоступной. Если клиент не может синхронизировать время на основе иерархии домена, то в качестве источника времени автоматически будет использоваться источник, указанный в параметре NtpServer. Данный метод синхронизации представляет собой наилучший способ передачи клиентам информации о точном времени.
Параметры реестра, используемые службой времени Windows
Параметр MaxPosPhaseCorrection
Путь HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config
Примечания Данный параметр задает максимальную величину положительной коррекции времени, которую может выполнить служба времени. Если окажется, что величина изменения превышает допустимое значение, то изменение выполняться не будет, и будет зарегистрировано соответствующее событие. Если данный параметр равен 0xFFFFFFFF, то изменение времени будет выполняться всегда. По умолчанию для компьютеров-членов домена используется значение 0xFFFFFFFF. Для изолированных компьютеров и серверов по умолчанию используется значение 54000 (15 часов).
Параметр MaxNegPhaseCorrection
Путь HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config
Примечания Данный параметр задает максимальную величину отрицательной коррекции времени, которую может выполнить служба времени. Если окажется, что величина изменения превышает допустимое значение, то изменение выполняться не будет, и будет зарегистрировано соответствующее событие. Если данный параметр равен 0xFFFFFFFF, то изменение времени будет выполняться всегда. По умолчанию для компьютеров-членов домена используется значение 0xFFFFFFFF. Для изолированных компьютеров и серверов по умолчанию используется значение 54000 (15 часов).
Параметр MaxPollInterval
Путь HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config
Примечание. Данный параметр задает наибольший допустимый интервал (в секундах) между опросами. Хотя система обязана отправлять запрос по истечении интервала опроса, поставщик времени может проигнорировать данный запрос. Для членов домена по умолчанию используется значение 10. Для рядовых компьютеров и серверов по умолчанию используется значение 15.
Параметр SpecialPollInterval
Путь HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpClient
Примечание. Данный параметр определяет интервал опроса (в секундах) при задании узлов для синхронизации вручную. Если установлен флаг SpecialInterval 0x1, служба W32Time использует величину интервала опроса, задаваемую параметром SpecialPollInterval, а не значение, указываемое операционной системой. Для членов домена по умолчанию используется значение 3 600. Для рядовых компьютеров и серверов по умолчанию используется значение 604 800.
Параметр MaxAllowedPhaseOffset
Путь HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config
Примечание. Данный параметр определяет значение (в секундах), на которое служба W32Time может изменять показания часов компьютера с помощью частоты синхронизации. Если величина изменения превышает данное значение, служба W32Time изменяет показания часов компьютера напрямую. Для членов домена по умолчанию используется значение 300. Для рядовых компьютеров и серверов по умолчанию используется значение 1.