Promemoriya.ru

Дачный журнал
4 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Как настроить службу времени в домене

Энциклопедия Windows

Все об использовании и настройке Windows

  • Windata
  • »
  • Windows XP
  • »
  • FAQ [XP]
  • » Настройка службы времени

Настройка службы времени

Для обеспечения полноценной работоспособности локальной сети протоколу аутентификации Kerberos в Windows XP необходимо, чтобы все контроллеры доменов имели одинаковое системное время. Таким образом, Windows XP поставляется вместе со службой времени, в которой при назначении времени используется следующая системная иерархия:

n все клиентские настольные компьютеры и серверы-члены доменов используют аутентифицирующий контроллер домена в качестве партнера для получения данных о времени;

n все контроллеры домена используют службу FSMO (Flexible Single-Master Operation) главного контроллера домена в качестве партнера для получения данных о времени;

n служба FSMO главного контроллера домена использует иерархию домена для подбора партнера определения времени.

Служба FSMO главного контроллера домена (PDC — Primary Domain Controller) в корневом домене становится основным источником точного времени для всего предприятия, поэтому PDC необходимо настроить таким образом, чтобы сервер получал данные о точном времени из надежного внешнего источника. Пока настройка времени не завершена, журнал событий будет сообщать, что служба W32Time не настроена.

Для настройки службы W32Time на использование внешнего сервера точного времени необходимо воспользоваться следующей командой:

net time /setsntp:192.4.41.40

Существует возможность указать несколько Internet-серверов, которые расположены в Морской обсерватории ВМС США (U.S. Naval Observatory):

Не стоит обращаться непосредственно к серверам NTP (Network Time Protocol) ВМС США за исключением тех случаев, когда администратору домена необходим доступ к серверу stratum-2 (доступ к которому предоставляется большому количеству пользователей). Администраторам домена не рекомендуется обращаться к перечисленным выше серверам и вместо них желательно использовать сервер NTP, предоставляемый поставщиком услуг Internet (каждый ISP должен иметь такой сервер). Единственным исключением является повышенное требование к точности времени.

При использование команды /setsntp обновляется запись в системном реестре HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParametersntpserver. Для протокола SNMP (Simple Network Time Protocol) используется порт 123 протокола UDP, поэтому необходимо удостовериться, что proxy-серверы и брандмауэры не блокируют данный порт.

Далее приводятся некоторые параметры системного реестра, имеющие отношение к службе W32Time.

Параметры системного реестра службы W32Time

В соответствии с документом W32TIME.DOC, присвоение этой записи значения 1 (W32Time использует файл *.INI и присваивает записи значение Yes) определяет локальный компьютер как сервер SNTP

Присвоение этой записи значения 1 указывает службе W32Time записывать события синхронизации времени в системный журнал. По умолчанию запись имеет значение 0

Эта запись системного реестра содержит адрес сервера (S)NTP, с которого необходимо получать информацию о точном времени. Можно воспользоваться командой net time /setsntp[:serverlist] для определения параметра из командной строки. В документе W32TIME.DOC указано, что имена BroadcastClient и MulticastClient являются зарезервированными и их нельзя использовать для серверов NTP. История умалчивает, что именно обозначают имена BroadcastClient и MulticastClient

Обратитесь к документу W32TIME.DOC и статье Microsoft, которые упоминались ранее

Эта запись системного реестра указывает имена NetBIOS всех основных серверов точного времени. Перед каждым именем необходимо указывать две обратных косых черты (\) и разделять имена с помощью точки с запятой (;)

RandomPrimary (тип неизвестен, возможно REG_DWORD)

Читать еще:  Как подключить газ к частному дому в перми

В этой записи системного реестра случайным образом выбирается основной сервер из списка PrimarySource

Эта запись предположительно имеет тип REG_SZ и содержит имя сервера RTS

Как настроить службу времени в домене

Управление временем — один из ключевых аспектов системного администрирования. Как правило, все клиентские серверы и рабочие станции синхронизируют время с доменом Active Directory, однако откуда берется точное время в AD? Это зависит от разных факторов. В стандартной конфигурации время синхронизируется с серверами Microsoft, а виртуальные машины обычно получают данные от хост-сервера.

Лучше всего задать единый источник данных о точном времени для всех компьютеров в корпоративной сети — сервер (или несколько серверов), с которым будут синхронизироваться все системы. Это может быть ресурс или пул ресурсов в Интернете, либо локальный сервер. Так или иначе, с источником точного времени стоит определиться заранее.

За синхронизацию компьютеров и серверов Windows отвечает сетвой протокол Network Time Protocol (NTP). NTP использует для своей работы протокол UDP порт по умолчанию 123. Что бы в дальнейшем можно было настроить работу этого сетевого протокола, необходимо проверить, не блокирует ли этот порт фаерволл.

Способы указания NTP Сервера.

1) Команда w32tm позволяет задать список пиров, предоставляющих информацию о точном времени для домена. Чтобы получить дополнительные сведения о команде w32tm, введите в командной строке указанную команду w32tm /?
Первым, что необходимо сделать, это выяснить в каком состоянии находятся контролеры домена в домене. Для этого запускаем в командной строке команду (если у вас права доменного администратора, то можете запустить командную строку на своей рабочей станции)
w32tm /monitor — команда позволяет посмотреть с каким сервером (серверами)/сервисом происходит синхронизация и какая разница во времени с эталонным севером.
w32tm /config /manualpeerlist:time.windows.com /syncfromflags:manual /reliable:yes /update — этой командой мы указываем с каким сервисом/сервером будет происходить синхронизация ( в данном примере с time.windows.com).
Эта команда выполняется на контроллере домена однократно и записывает указанные адреса в реестр ( по пути HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfigParametrs в параметре NTPServer должно быть прописано time.windows.com). Можно указать сразу несколько серверов, разделенных пробелами.

NoSync— Служба времени не синхронизируется с другими источниками.
NTP- Служба времени выполняет синхронизацию с серверами, указанными в записи реестра NtpServer.
NT5DS- Служба времени выполняет синхронизацию на основе иерархии домена.
AllSync- Служба времени использует все доступные механизмы синхронизации.

Значение CrossSiteSyncFlags выбираем 2.

CrossSiteSyncFlags. Определяет возможность выбора службой партнеров по синхронизации за пределами домена компьютера.
Нет 0
PdcOnly 1
Все 2

В значении ResolvePeerBackoffMinutes прописываем 15

ResolvePeerBackoffMinutes- указывает первоначальный интервал ожидания (в минутах) перед тем, как начать поиск узла одноранговой сети для синхронизации. Если службе времени Windows не удается успешно синхронизироваться с источником времени, будут выполняться повторные попытки с использованием указанных значений параметров ResolvePeerBackoffMinutes и ResolvePeerBackoffMaxTimes.

В значении ResolvePeerBackoffMaxTimes прописываем 7

ResolvePeerBackoffMaxTimes- указывает максимальное число раз удвоения интервала ожидания в случае, если повторяющиеся попытки поиска узла одноранговой сети для синхронизации не дали результата. Нулевое значение предполагает, что интервал ожидания всегда равен первоначальному, указанному в параметре ResolvePeerBackoffMinutes.

В значении SpecialPollInterval прописываем 3600

Читать еще:  Калькулятор расчета кирпич для дома
SpecialPollInterval- указывает интервал специального опроса (в секундах) для узлов одноранговой сети, настроенных вручную. Если специальный опрос включен, то служба времени Windows будет использовать его интервал вместо динамического значения, определяемого с помощью алгоритмов синхронизации, встроенных в службу времени Windows.

Если вы создали политику, то ее нужно применить на все контролеры домены.

Команда NET TIME вывод текущего времени сервера

NET TIME синхронизирует показания часов компьютера с другим компьютером или доменом. Если используется без параметров в домене Windows Server, выводит текущую дату и время дня, установленные на компьютере, который назначен сервером времени для данного домена. Эта команда позволяет задать сервер времени NTP для компьютера.

Видео: NET TIME — как синхронизировать время с сервером в Windows

Синтаксис команды NET TIME

  1. net time [<\имя_компьютера | /domain[:имя_домена] | /rtsdomain[:имя_домена]>] [/set]
  2. net time [\имя_компьютера] [/querysntp]
  3. net time [\имя_компьютера] [/setsntp[:список_серверов_NTP]], где
  • \имя_компьютера — указывает имя сервера, время на котором нужно проверить или с которым нужно синхронизировать таймер.
  • /domain[:имя_домена] — задает имя домена, с которым синхронизируются часы.
  • /rtsdomain[:имя_домена] — указывает домен сервера надежного времени (RTS), с которым будут синхронизироваться часы.
  • /set — синхронизирует часы с временем указанного компьютера или домена.
  • /querysntp — выводит имя сервера NTP (Network Time Protocol), сконфигурированного для локального компьютера, или компьютера, указанного в параметре \имя_компьютера.
  • /setsntp[:список_серверов_NTP] — указывает список серверов времени NTP для использования на локальном компьютере.

Примеры команды NET TIME

  • net help time — отображение справки для указанной команды net;
  • net time \PC1— вывод на экран текущего времение сервера в сети для компьютера PC1;
  • net time /querysntp — отображение на экране имени сервера NTP для локальнго компьютера;
  • net time \Proton /set — синхронизация часов локального компьютера с временем компьютера Proton.

Net time системные ошибки в ходе выполнения

Системная ошибка 5. Отказано в доступе

Часто спрашивают, почему появляется «Системная ошибка 5. Отказано в доступе» при использовании команды Net time. Отвечаю, все в правах пользователя под которым запускается команда. В качестве примера пробовал запустить команду сначала с правами локального администратора на Windows 10 — получил ошибку, далее запустил с правами администратора домена — результат на рисунке ниже.

Системная ошибка 1314. Клиент не обладает требуемыми правами

Вам нужно зайти в «редактор локальной политики безопасности». Открываем «Выполнить» Win+R. Ввести — «secpool».

Локальные политики-Параметры безопасности-Контроль учетный записей: Все администраторы работают в режиме одобрения администратором-Отключить-ОК-Перезагрузить компьютер/ноутбук.

Далее запустил с правами администратора домена, команда успешно выполнилась.

Настройка синхронизации времени по NTP с помощью групповых политик

Служба времени Windows, несмотря на кажущуюся простоту, является одной из основ, необходимых для нормального функционирования домена Active Directory. В правильно настроенной среде AD служба времени работает следующим образом: компьютеры пользователей получают точное время от ближайшего контроллера домена, на котором они зарегистрировались. Все контроллеры домена в свою очередь получают точное время от DC с FSMO ролью «Эмулятор PDC», а контролер PDC синхронизирует свое время с неким внешним источником времени. В качестве внешнего источника времени может выступать один или несколько NTP серверов, например time.windows.com или NTP сервер вашего Интернет-провайдера. Также нужно отметить, что по умолчанию клиенты в домене синхронизируют время с помощью службы времени Windows (Windows Time), а не с помощью протокола NTP.

Если вы столкнулись с ситуацией, когда время на клиентах и контроллерах домена различается, возможно, в вашем домене есть проблемы с синхронизацией времени и эта статья будет вам полезна.

В первую очередь выберите подходящий NTP сервер, который вы могли бы использовать. Список общедоступных NTP серверов доступен на сайте http://ntp.org . В нашем примере мы будем использовать NTP сервера из пула ru.pool.ntp.org:

  • 0.ru.pool.ntp.org
  • 1.ru.pool.ntp.org
  • 2.ru.pool.ntp.org
  • 3.ru.pool.ntp.org

Настройка синхронизации времени в домене с помощью групповых политик состоит из двух шагов:

1) Создание GPO для контроллера домена с ролью PDC
2) Создание GPO для клиентов (опционально)

Настройка политики синхронизации NTP на контролере домена PDC

Этот шаг предполагает настройку контроллера домена с ролью эмулятора PDC на синхронизацию времени с внешним NTP сервером. Т.к. теоретически роль эмулятора PDC может перемещаться между контроллерами домена, нам нужно сделать политику, которая применялась бы только к текущему владельцу роли PDC. Для этого в консоли управления Group Policy Management Console (GPMC.msc), создадим новый WMI фильтр групповых политик. Для этого в разделе WMI Filters создадим фильтр и именем PDC Emulator и WMI запросом: Select * from Win32_ComputerSystem where DomainRole = 5

Затем создайте новую GPO и назначьте ее на контейнер Domain Controllers.

Перейдите в режим редактирования политики и разверните следующий раздел политик: Computer Configuration->Administrative Templates->System->Windows Time Service->Time Providers

Нас интересуют три политики:

  • Configure Windows NTP Client: Enabled (настройки политики описаны ниже)
  • Enable Windows NTP Client: Enabled
  • Enable Windows NTP Server: Enabled


В настройках политики Configure Windows NTP Client укажите следующие параметры:

  • NtpServer: 0.ru.pool.ntp.org,0x1 1.ru.pool.ntp.org,0x1 2.ru.pool.ntp.org,0x1 3.ru.pool.ntp.org,0x1
  • Type: NTP
  • CrossSiteSyncFlags: 2
  • ResolvePeerBackoffMinutes: 15
  • Resolve Peer BAckoffMaxTimes: 7
  • SpecilalPoolInterval: 3600
  • EventLogFlags: 0

Примените созданный ранее фильтр PDC Emulator к данной политике.

Осталось обновить политики на контроллере PDC:
gpupdate /force

Вручную запустите синхронизацию времени:
w32tm /resync

Проверьте текущие настройки NTP:
w32tm /query /status

Настройка синхронизации времени на клиентах домена

В среде Active Directory по умолчанию клиенты домена синхронизируют свое время с контролерами домена (опция Nt5DS – синхронизировать время согласно иерархии домена). Как правило, эта схема работает и не требует перенастройки. Однако при наличии проблем с синхронизацией времени на клиентах домена, можно попробовать принудительно назначить сервер времени для клиентов с помощью GPO.

Для этого создайте новую GPO и назначьте ее на контейнеры (OU) с компьютерами. В редакторе GPO перейдите в раздел Computer Configuration -> Administrative Templates -> System -> Windows Time Service -> Time Providers и включите политику Configure Windows NTP Client.

В качестве сервера NTP укажите имя или ip адрес PDC, например msk-dc1.winitpro.ru,0x9, а в качестве типа синхронизации — NT5DS

Обновите настройки групповых политик на клиентах и проверьте, что клиенты успешно синхронизировали свое время с PDC.

голоса
Рейтинг статьи
Ссылка на основную публикацию
ВсеИнструменты
Adblock
detector