![DCs Server 2008 域上的时间源不正确?](https://linux22.com/image/577888/DCs%20Server%202008%20%E5%9F%9F%E4%B8%8A%E7%9A%84%E6%97%B6%E9%97%B4%E6%BA%90%E4%B8%8D%E6%AD%A3%E7%A1%AE%EF%BC%9F.png)
因此,我们收到一位用户投诉,称她的电脑上的时钟比实际时间慢了一分钟,因此她总是错过火车。尽管我对这样的事情反应难以置信,但它确实促使我调查了我们域中的时间同步,我认为这凸显了我对时间同步的缺乏理解。
目前我的“w32tm /monitor”命令的结果如下:
C:\Users\TAlexander>w32tm /monitor
NCCDC1.xxxxxx.xx.xx[10.168.50.32:123]:
ICMP: 0ms delay
NTP: +2.4042293s offset from RHDC1.xxxxxx.xx.xx
RefID: firewall.xxxxxx.xx.xx [10.168.xxx.xxx]
Stratum: 4
NCCDC3.xxxxxx.xx.xx[10.168.50.36:123]:
ICMP: 0ms delay
NTP: +2.4122098s offset from RHDC1.xxxxxx.xx.xx
RefID: firewall.xxxxxx.xx.xx [10.168.xxx.xxx]
Stratum: 4
NCCDC.xxxxxx.xx.xx[[fe80::d1e0:8675:36c1:acba%14]:123]:
ICMP: 0ms delay
NTP: -0.0916479s offset from RHDC1.xxxxxx.xx.xx
RefID: RHDC1.xxxxxx.xx.xx [10.168.50.35]
Stratum: 2
RHDC1.xxxxxx.xx.xx *** PDC ***[10.168.50.35:123]:
ICMP: 0ms delay
NTP: +0.0000000s offset from RHDC1.xxxxxx.xx.xx
RefID: 'LOCL' [0x4C434F4C]
Stratum: 1
ICMDC1.xxxxxx.xx.xx[10.168.50.31:123]:
ICMP: 0ms delay
NTP: +2.4229719s offset from RHDC1.xxxxxx.xx.xx
RefID: wwwco1test12.microsoft.com [65.55.21.20]
Stratum: 3
ICMDC2.xxxxxx.xx.xx[10.168.50.33:123]:
ICMP: 0ms delay
NTP: +0.1387203s offset from RHDC1.xxxxxx.xx.xx
RefID: RHDC1.xxxxxx.xx.xx [10.168.50.35]
Stratum: 2
RHDC1 是我们的 PDC,因此根据我所读到的内容,我认为 RHDC1 应该具有不同时间源的 RefID(在本例中是我们的防火墙),然后其他 DC 应该向 PDC 查询时间,并因此在 RefID 中显示 RHDC1。然后客户端(服务器和工作站)应该在 NETLOGON 进程运行时进行同步。
事实上,我们有一些不同的来源和配置。我的假设是否正确,我们的 DC 不是以传统的域层次结构方式同步的?如果是这样,是否有 GP 或命令可以强制它们返回到此状态?
答案1
看起来,一些非 PDC 仿真器 DC 使用的时间源确实有些问题。我建议在所有 DC 上运行以下命令,PDC 仿真器除外:
w32tm /config /syncfromflags:domhier /update。然后重新启动 w32time。
至于将 PDC 仿真器同步到外部源(例如防火墙),我的问题是这是否必要?时间是相对的。拥有“封闭系统”是完全可以接受的,除非出于审计、法律等原因需要从外部源获取真实、准确的时间。如果需要,那么您可能需要同步到防火墙以外的其他东西。
答案2
虚拟 DC 的问题部分在于它想要从 PDC 获取时间,但“虚拟驱动程序”默认设置为与主机同步时间。如果主机和 PDC 的时间不一致,这将导致一场拉锯战。大多数人只会禁用 VM 时间同步功能,但如果 VM曾经已保存与已关闭。
在 Hyper-V 世界中的 PDC:以下步骤将 VM 设置为在启动、睡眠/唤醒和快照恢复时使用主机,但一旦操作系统启动,它将使用 manualpeerlist 进行时间同步。您还应该让主机与相同的源同步时间,以便您的主机/客户机之间的最大间隔仅为 5-10 秒。
打开管理提示符并输入以下命令:
reg add HKLM\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\VMICTimeProvider /v Enabled /t reg_dword /d 0
(回答“是”以覆盖并禁用该时间源)
w32tm /config /syncfromflags:MANUAL /reliable:YES /manualpeerlist:"us.pool.ntp.org,0x1" /update
net stop w32time & net start w32time
w32tm /resync /force
(应成功完成)
w32tm /query /source
(应显示 NTP 服务器 IP/名称)
在帮助几位客户克服 DC/PDC 处于虚拟化状态的时间问题后,我从 TechEd 和微软的一篇出色的虚拟化文章中整理出了这一点。http://blogs.msdn.com/b/virtual_pc_guy/archive/2010/11/19/time-synchronization-in-hyper-v.aspx
答案3
好的,Doamins 仅从 PDC EMULATOR ROLE 同步。
并且 Windows 时间同步可以使计算机“足够接近以使 Kerberos 能够工作”,这与服务器的延迟在 5 分钟之内。
其他任何东西都不是时间服务的用途,需要高分辨率时间服务器。
你的员工太差劲了,竟然认为应该这么近。根本就没为此做好准备。