Как заставить контроллеры домена синхронизировать с правильным внешним источником времени?

Question

У меня был контакт со мной, говорящий, что ее компьютерные часы на 8 или 9 минут быстрее, чем часы ее сотового телефона. Это меня беспокоило, потому что часы сотового телефона всегда синхронизируются. Я посмотрел на часы своего компьютера, и все было так же, примерно на 8 минут раньше моего телефона. Восемь минут - это много времени, чтобы отключиться. Поэтому я посмотрел на своих двух DC. Тот, который служит эмулятором AD PDC, только на 1 минуту быстрее моего телефона; что кажется более разумным. Но рабочие станции не синхронизируются с ним. Поэтому я посмотрел на другого DC, у которого нет ни одной из главных ролей. Это точно так же, как и рабочие станции, примерно на 8 минут.

Так что здесь есть пара больших проблем. Во-первых, мои DC не имеют одинакового времени. Во-вторых, мои рабочие станции имеют то же время, что и более быстрый DC (они синхронизируются с ним?). Я просмотрел журналы ошибок обоих DC и отфильтрован для Time-Service. Эмулятор DC PDC имеет идентификатор аварийного события 144: служба времени остановила рекламу как хороший источник времени. Другой DC имеет идентификатор аварийного события 142: служба времени остановила рекламу в качестве источника времени, потому что локальные часы не синхронизированы. Я получаю другие предупреждения о событиях. На основном DC: Идентификаторы событий 12, 36, 144 (упомянутые выше), 131. На вторичном DC: Идентификаторы событий 131, 24, 142 (упомянутые выше), 50, 129. Я дам больше информации об этом внизу ,

Из того, что я вижу, похоже, что мой PDCe не указывает на внешний источник. Должен ли я использовать здесь инструкции (http://support.microsoft.com/kb/816042) в разделе «Настройка службы времени для использования внешнего источника времени» для ее настройки? Парень в статье (http://tigermatt.wordpress.com/2009/08/01/windows-time-for-active-directory/) говорит, что использует скрипт для его автоматизации (w32tm/config/manualpeerlist: "uk .pool.ntp.org, 0 × 8 europe.pool.ntp.org, 0 × 8¿/syncfromflags: MANUAL/reliable: yes/update). Но я не уверен, что они делают то же самое. Даже если бы они это сделали, я не знаю, какой адрес я использую. Если я посмотрю на мой вторичный DC, у него есть запись NtpServer time.windows.com, 0x9. PDCe имел это также, пока я не сделал сброс, рекомендованный статьей; теперь он не имеет записи NtpServer.

Итак, какой метод является правильным, и какой адрес я использую? Имеет ли значение, если я запускаю Server 2008 R2?

Идентификатор события 12: Поставщик времени NtpClient: этот аппарат настроен на использование иерархии домена для определения источника времени, но это эмулятор AD PDC для домена в корне леса, поэтому нет машины выше это в иерархии доменов для использования в качестве источника времени. Рекомендуется либо настроить надежную службу времени в корневом домене, либо вручную настроить AD PDC для синхронизации с внешним источником времени. В противном случае эта машина будет функционировать как авторитетный источник времени в иерархии доменов. Если внешний источник времени не настроен или не используется для этого компьютера, вы можете отключить NtpClient.

Идентификатор события 36: служба времени не синхронизировала системное время на 86400 секунд, поскольку ни один из поставщиков услуг не предоставил удобную отметку времени. Служба времени не будет обновлять локальное системное время, пока не сможет синхронизироваться с источником времени. Если локальная система настроена на то, чтобы действовать как сервер времени для клиентов, она остановит рекламу как источник времени для клиентов. Служба времени будет продолжать повторять и синхронизировать время со своими источниками времени. Для получения более подробной информации просмотрите журнал событий системы для других событий W32time. Запустите «w32tm/resync», чтобы принудительно синхронизировать время.

Идентификатор события 144: служба времени прекратила рекламу как хороший источник времени.

Идентификатор события 131: NtpClient не удалось установить одноранговую сеть домена в качестве источника времени из-за ошибки разрешения DNS на ''. NtpClient повторит попытку через 3473457 минут и затем удвоит интервал повторного набора. Ошибка: запрашиваемое имя действительно, но данные запрашиваемого типа не найдены. (0x80072AFC).

Идентификатор события 24: Поставщик времени NtpClient: от контроллера домена DC-DNS.domain.org [это наш первичный DC] не получено ответа, после 8 попыток связаться с ним. Этот контроллер домена будет отброшен как источник времени, а NtpClient попытается обнаружить новый контроллер домена, с которого будет синхронизироваться. Ошибка была: сверстник недоступен.

Идентификатор события 142: служба времени остановила рекламу как источник времени, потому что локальные часы не синхронизированы.

Идентификатор события 50: служба времени обнаружила разницу во времени более 5000 миллисекунд в течение 900 секунд. Разница во времени может быть вызвана синхронизацией с низкоточными источниками времени или субоптимальными сетевыми условиями. Служба времени больше не синхронизирована и не может предоставить время другим клиентам или обновить системные часы. Когда действительная метка времени получена от поставщика услуг времени, служба времени исправит себя.

Идентификатор события 129: NtpClient не удалось установить одноранговую сеть домена в качестве источника времени из-за ошибки обнаружения. NtpClient повторит попытку через 3145779 минут и затем удвоит интервал повторного набора. Ошибка: запись не найдена. (0x800706E1)

Answer 1

У меня была проблема с небольшим клиентом, где только DC работал как виртуальная машина. Часы будут медленными на секунды в день, в течение недель или месяцев он может отсутствовать на 20 минут.

Следуя здесь инструкции: http://technet.microsoft.com/en-us/library/cc794937(v=ws.10).aspx я использовал w32tm /stripchart /computer:time.windows.com /samples:5 /dataonly, чтобы определить, как далеко часы были с сервером time.windows.com (вы можете использовать любой сервер NTP вам нравится):

Tracking time.windows.com [64.4.10.33]. 
Collecting 5 samples. 
The current time is 23/06/2013 8:12:34 AM (local time). 
08:12:34, -53.2859637s 
08:12:37, -53.4214102s 
08:12:39, -53.3859342s 
08:12:41, -53.2913859s 
08:12:43, -53.2440682s 

Я тогда используется w32tm /config /manualpeerlist:time.windows.com /syncfromflags:manual /reliable:yes /update сказать серверу использовать time.windows.com в качестве внешнего источника времени:

The command completed successfully. 

затем я использовал w32tm /resync, чтобы заставить его повторной синхронизации с time.windows.com Сейчас:

Sending resync command to local computer... 
The command completed successfully. 

Затем я использовал первую команду еще раз, чтобы подтвердить, что разница была достаточно близко к 0 секунд:

Tracking time.windows.com [64.4.10.33]. 
Collecting 5 samples. 
The current time is 23/06/2013 8:13:54 AM (local time). 
08:13:54, -00.1657880s 
08:13:56, +00.0059062s 
08:13:59, -00.0088913s 
08:14:01, +00.0030319s 
08:14:03, +00.0063458s 

Пожалуйста, обратите внимание, что информация была для среды с одним DC.Если у вас более 1 DC, вам необходимо выполнить вышеуказанные шаги на DC, который содержит роль FSMO эмулятора PDC.

Надеюсь, это поможет кому-то.

Answer 2

Идентификатор PDC корня леса (ТОЛЬКО!) Может синхронизироваться снаружи. http://technet.microsoft.com/en-us/library/cc794937(v=ws.10).aspxВсе остальные клиенты, серверы и контроллеры домена должны использовать NT5DS. POOL.NTP.ORG - хороший выбор.

На всех остальных контроллеров домена использовать:

net stop w32Time 
w32tm /unregister 
w32tm /register 
net start w32time 

сбросить службы времени использовать Nt5DS, как указано в http://technet.microsoft.com/en-us/library/cc738995(v=ws.10).aspx.

Если у клиентов или других серверов по-прежнему возникают проблемы, используйте один и тот же метод для одного объекта групповой политики, так как необходимы права администратора.

Вы также должны быть очень устали от контроллеров домена VM, так как они могут или не могут выдерживать точное время в зависимости от использования ЦП хоста! Различия в нескольких минусах являются обычными и смертоносными - насколько это касается Kerberos.

Answer 3

Что-то, что вам нужно прояснить - это виртуальные машины DC в Hyper-V или они являются физическими серверами? Если они работают в Hyper-V, есть параметр, который передает время VM на VM. Все, что вам нужно сделать, это отключить эту синхронизацию, а затем использовать команду w32tm, чтобы установить DC на сервер NTP, например time.windows.com, как указано выше.

Я не помню, как это было у меня на голове, но у меня тоже была эта проблема ... 5 DC все показывали разные времена.