Настройка синхронизации времени в домене Windows Server 2008 R2/2012 R2
Для правильного функционирования доменной среды Windows Server 2008 R2/2012 R2, является корректная работа службы времени Windows (W32Time).
Схема работы синхронизации времени в доменной среде Active Directory:
- Контроллер корневого домена в лесу AD, которому принадлежит FSMО-роль PDC-эмулятора, синхронизируется с внешними источниками точного времени. Он же является источником времени для всех остальных контроллеров этого домена.
- Контроллеры дочерних доменов в AD, синхронизируют время с вышестоящих контроллеров домена AD.
- Рядовые члены домена (сервера и рабочие станции) синхронизируют свое время с ближайшим к ним доступным контроллером домена, соблюдая топологию AD.
Служба времени в Windows (W32Time) не имеет графического интерфейса и настраивается из командной строки (утилита w32tm), с помощью реестра (HKLM\System\CurrentControlSet\Services\W32Time\Parameters) и посредством Групповой политики (Group Policy Managment)
Включение NTP-сервера
NTP-сервер по-умолчанию включен на всех контроллерах домена, но его можно включить и на рядовых серверах:
Конфигурация NTP-сервера
Задаем тип синхронизации внутренних часов, на использование внешнего источника. (Командная строка/Реестр):
- w32tm /config /syncfromflags:manual
- [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters] — «Type»=NTP
NoSync — NTP-сервер не синхронизируется с каким либо внешним источником времени. Используются системные часы, встроенные в микросхему CMOS самого сервера.
NTP — NTP-сервер синхронизируется с внешними серверами времени, которые указаны в параметре реестра NtpServer.
NT5DS — NTP-сервер производит синхронизацию согласно доменной иерархии.
AllSync — NTP-сервер использует для синхронизации все доступные источники.
Задание списка внешних источников для синхронизации, с которыми будет синхронизировать время данный сервер. По-умолчанию в этом параметре прописан NTP-сервер Microsoft (time.windows.com, 0×1). (Командная строка/Реестр):
- w32tm /config /manualpeerlist:»0.ru.pool.ntp.org,0x1 1.ru.pool.ntp.org,0x1 2.ru.pool.ntp.org,0x1″
- [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters] — «NtpServer»=0.ru.pool.ntp.org,0x1 1.ru.pool.ntp.org,0x1 2.ru.pool.ntp.org,0x1
0×1 – SpecialInterval, использование временного интервала опроса.
0×2 – режим UseAsFallbackOnly.
0×4 – SymmetricActive, симметричный активный режим.
0×8 – Client, отправка запроса в клиентском режиме.
Задание интервала синхронизации с внешним источником (для источников помеченных флагом 0×1). По-умолчанию время опроса задано — 3600 сек. (1 час). (Командная строка/Реестр):
- [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpClient] — «SpecialPollInterval»=3600
Объявление NTP-сервера в качестве надежного. (Командная строка/Реестр):
- w32tm /config /reliable:yes
- [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config] — «AnnounceFlags»=0000000a
После настройки необходимо обновить конфигурацию сервиса. Выполняем команду:
Отобразить текущую конфигурацию службы времени:
- w32tm /query /configuration
Получения информации о текущем сервере времени:
Отображение текущих источников синхронизации и их статуса:
Отображение состояния синхронизации контроллеров домена с компьютерами в домене:
- w32tm /monitor /computers:192.168.1.2
Отобразить разницу во времени между текущим и удаленным компьютером:
- w32tm /stripchart /computer:192.168.1.2 /samples:5 /dataonly
Удалить службу времени с компьютера:
Регистрация службы времени на компьютере. Создается заново вся ветка параметров в реестре:
Остановка службы времени:
Запуск службы времени:
Конфигурация NTP-сервера/клиента групповой политикой
Для централизованной настройки службы времени Windows, на серверах и рабочих станциях в доменной среде Active Directory, воспользуемся групповой политикой. На примере, выполним настройку для рабочих станций.
Переходим в ветку: Конфигурация компьютера (Computer Configuration) — Политики (Policies) — Административные шаблоны (Administrative Templates) — Система (System) — Служба времени Windows (Windows Time Service) — Поставщики времени (Time Providers).
Открываем параметр: Настроить NTP-клиент Windows (Configure Windows NTP Client)
- NtpServer — 192.168.1.2 (Адрес контроллера домена с ролью PDC)
- Type — NT5DS
- CrossSiteSyncFlags — 2
- ResolvePeerBackoffMinutes —15
- Resolve Peer BackoffMaxTimes — 7
- SpecilalPoolInterval — 3600
- EventLogFlags — 0
Windows server 2008 синхронизация времени с интернетом
Question
Доброго времени суток!
У меня возникла проблема с синхронизацией времени на основном контроллере домена. Он новый, так что синхронизация сдесь еще не работала ни разу.
Я установил и перенес на него все роли со старого контроллера под Win2k3. Сейчас у меня в сети один контроллер.
Я настраивал по мануалам базы знаний и с TechNet, например http://technet.microsoft.com/en-us/library/cc786897(WS.10).aspx
Результат был один, внутри домена синхронизация идет, сам контроллер не синхронизируется.
Переделывал так и сяк уже много раз, открыл доступ на брандмауэре для 123-го потра TCP и UDP.
В общем сейчас вот что имею:
Заметив что источник LOCL, проделал.
Вот 🙁 . Если я все правельно понимаю, то контроллер пытается синхронизироваться с системными часами, не смотря на мои команды.
Уважаемые, надеюсь на вашу помощь т.к. сам иссяк.
Answers
а запустите RSoP для компьютера — откуда берется политика для Type: NT5DS (Политика) ?!
В групповой политике (локальной или доменной) Конфиг. комп — Админ шаблоны — Система — Служба времени Windows — Поставщики времени, значение параметра Включить NTP-клиент Windows, установите «Не задано»
All replies
похоже на стандартную «проблему».
если вы синхронизируете по PDC по внешнему источнику, то здесь
(поздно уже искать команду. w32tm /config /syncfromflags:MANUAL /manualpeerlist: ! или проще в реестре:
для Type укажите NTP.
А источник укажите обычным образом — хоть с помощью w32tm
должно быть как для локального компьютера, типа Type: NTP (Local) NtpServer: time-a.nist.gov,0x9 (Local) — если, конечно, Вас это устраивает!)
и не забывайте делать w32tm /config /update после изменения параметров! иначе они не будут применяться сразу
Type: NT5DS
Вижу, и сам не пойму почему. Т.к. здесь HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\W32Time\Parameters Type со значением NTP.
и не забывайте делать w32tm /config /update
Это как раз сделано, если обратите внимание на вополненную команду.
По этой ссылке (этим методом) делал изночально, не работает.
и не забывайте делать w32tm /config /update
Это как раз сделано, если обратите внимание на вополненную команду.
а просто перезапускать службу пробовали?
net stop w32time && net start w32time
а что выдает команда w32tm /dumpreg /subkey:parameters ?
а почему Вы решаете, что время неправильно синхронизируется? команду W32TM /query /status Вы неверно интерпретируете — она ничего другого и не должна показывать! если синк от внешнего источника.
команда W32tm /query /configuration показывает Type: NT5DS (Политика) , а не (Локально)! возможно, это и правильно для домена — а в реестре верно указано NTP (которое и будет работать). Хотя с этой «политикой» нужно и разобраться.
Нужно посмотреть, что выдают команды w32tm /monitor и w32tm /dumpreg /subkey:parameters
Включите дебаг службы времени на DC (http://support.microsoft.com/kb/816043), и лог давайте сюда.
обратите внимание на то, что в первом посте W32tm /query /configuration не показывает сервер времени в разделе
[TimeProviders]
но после w32tm /config /syncfromflags:MANUAL /manualpeerlist:time-a.nist.gov и если здесь HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\W32Time\Parameters Type со значением NTP — он обязан там быть!
а просто перезапускать службу пробовали?
net stop w32time && net start w32time
Пробывал, тот же результат.
Вы неверно интерпретируете — она ничего другого и не должна показывать! если синк от внешнего источника.
Правельно интерпритирую 🙂 . Я ее привожу чтоб показать, что синхронизация все еще ломится на CMOS.
Моя цель — заставить контроллер синхронизировать время с внешним NTP, из интернета.
Кстати он у меня был давно включен, но там уже черт ногу сломит, столько раз настройки правил.
Сейчас удалил старый, начил писать с чистого листа.
Только вот как мне его потом сюда выложить лучше? Через стороннюю шару?
Кстати он у меня был давно включен, но там уже черт ногу сломит, столько раз настройки правил.
Сейчас удалил старый, начил писать с чистого листа.
Только вот как мне его потом сюда выложить лучше? Через стороннюю шару?
Вы неверно интерпретируете — она ничего другого и не должна показывать! если синк от внешнего источника.
Правельно интерпритирую 🙂 . Я ее привожу чтоб показать, что синхронизация все еще ломится на CMOS.
да, согласен, пардон — здесь тоже должно быть видно, если синхронизация внешняя! типа
C:\>W32tm /query /status
Stratum: 2 (secondary reference — syncd by (S)NTP)
Last Successful Sync Time: 23.11.2010 11:15:57
Source: time-a.nist.gov,0x9
Остается только Type: NT5DS (Политика) — откуда взялась «Политика»?! и почему W32tm /query /configuration не показывает сервер времени в разделе [TimeProviders] NtpClient (Локально) ?
К сожалению мне не удается это сделать, видать блок слишком большой
В групповой политике (локальной или доменной) Конфиг. комп — Админ шаблоны — Система — Служба времени Windows — Поставщики времени, значение параметра Включить NTP-клиент Windows, установите «Не задано»
а запустите RSoP для компьютера — откуда берется политика для Type: NT5DS (Политика) ?!