Synchronizace času s řadičem domény. Konfigurace časové synchronizace

Synchronizace času systému v doméně služby Active Directory je důležitá pro správné fungování mnoha funkcí na uživatelských stanicích v systému Windows. Chvějící se systémové hodiny mohou ovlivnit schopnost uživatele přihlásit se, narušit provoz e-mailu ve službě Exchange a vytvořit řadu dalších problémů, které je obtížné zjistit.

V složitých případech nejsou standardní metody synchronizace času v síti 100% spolehlivé nebo dokonce předvídatelné. Například pokud hodiny fyzického hostitele Hyper-V nesynchronizují, obvykle se to týká všech virtuálních počítačů, někdy katastrofálně. Naštěstí nevyžaduje velké úsilí k opravě chyb načasování.

Výběr počítače jako zdroje času

První věc, kterou je třeba provést před nastavením časové synchronizace, je vybrat počítač, který se stane hlavním zdrojem systémového času ve vaší doméně.

Typicky je tento počítač vybrán jako zdroj, který má ve službě Active Directory roli emulátoru primárního řadiče domény (PDC). Podle oficiální dokumentace společnosti Microsoft by měl být hlavním zdrojem, ze kterého síť obdrží časová data. V praxi to však není vždy možné.

Vůz si vyberete, bude pravidelně konzultovat on-line zdrojů, takže pokud jste na přísně střeženém zařízení s vysokými nároky na bezpečnost informací, měli byste uvažovat o přenesení této role do jiného počítače.

Například můžete vytvořit dedikovaný server, který obdrží informace o čase z Internetu a pošle je do PDC emulátoru. V tomto případě budete mít několik počítačů, které slouží jako zdroje času pro počítače zahrnuté v síti.

Konfigurace brány firewall

Doprava při synchronizaci času s řadičem domény přichází na portu UDP 123. V počítači, který slouží jako zdroj času, musí být tento port otevřen pro příchozí připojení. Na všech počítačích v síti musí být port 123 otevřený pro odchozí připojení, alespoň s řadičem domény.

Konfigurace řadiče domény

Chcete-li synchronizovat čas s řadičem domény na serveru, který provádí role emulátoru PDC pomocí příkazového řádku, je třeba provést následující akce:

1. Ověřte, že řadičem domény, na kterém pracujete, je emulátor PDC spuštěním příkazu

netdom dotaz fsmo

2. Na serveru emulátoru PDC spusťte následující příkazy synchronizace času v uvedeném pořadí:

net stop w32time

w32tm / configure / syncfromflags: manuální /manualpeerlist:"0.us.pool.ntp.org,0x1 1.us.pool.ntp.org, 0x1 2.us.pool.ntp.org, 0x1 3.us.pool. ntp.org, 0x1 "

Výchozím zdrojem externího času pro server Windows Server je server time.windows.com. Nejlepším řešením je synchronizace s více časovými servery. Ve výše uvedeném příkazu používáme časové servery podporované projektem NTP Pool Project.

net start w32time

w32tm / configure / reliable: yes / update

w32tm / resync

3. Pokud existuje více řadičů domény ve službě Active Directory, spusťte na příkazovém řádku následující příkaz:

w32tm / config / syncfromflags: domhier / aktualizace

4. Ověřte správnost nastavení času na emulátoru serveru PDC:

w32tm / dotaz / stav:

5. Ověřte, zda mají všechny ostatní řadiče domény správné nastavení času:

w32tm / dotaz / stav:

c Synchronizace časové doméně "class =" pokud UUID-2236465 "src =" https://nisfarm.ru/misc/i/gallery/70251/2236465.jpg „/>

Konfigurace protokolu DHCP

Chcete-li synchronizovat čas s řadičem domény na zařízeních odpovědných za protokol DHCP, nastavte parametry serveru DHCP na 004 a 042.

Pro položky DHCP můžete použít pouze adresy IP. Můžete zadat název serveru a stisknout Vyřešit, pro získání IP adresy serveru.

Pokud používáte zařízení DHCP se zařízením Cisco, zadejte do nastavení DHCP následující příkazy:

možnost 4 ip [IP adresa]

možnost 42 ip [IP adresa]

Adresa IP by měla být nahrazena aktuálním serverem IP, který slouží jako zdroj času.

Nyní všechna zařízení DHCP budou přijímat nastavení času ze serveru při příští aktualizaci.

Konfigurace statických zařízení a počítačů pod jinými operačními systémy

Většina zařízení NAS a SAN má možnost zadávat informace o poskytovateli nastavení času.

Chcete-li konfigurovat synchronizaci času s řadičem domény v zařízeních Cisco IOS, zadejte příkazový řádek:

ntp server 192.168.25.5

Adresa IP by měla být nahrazena aktuálním serverem IP, který slouží jako zdroj času.

Chcete-li nakonfigurovat synchronizaci času v počítači s jiným operačním systémem než Windows, nahlédněte do dokumentace operačního systému. V ostatních operačních systémech však správná nastavení času není tak důležitá jako u systému Windows, takže můžete dokonce odhlásit synchronizaci.

Konfigurace virtuálních strojů hosta

Všechny moderní hypervisory mohou synchronizovat systémový čas pro hosty s vestavěnými nástroji. Pokud je povolena synchronizace času v doméně, hostující počítače obdrží čas od fyzického hostitele, na kterém jsou spuštěny.

Ve většině případů musíte zakázat tuto funkci pro hostující počítače se systémem Windows Server, které slouží jako virtualizované řadiče domény. Pro všechny ostatní hosty musí být zahrnuty.

Chcete-li nakonfigurovat synchronizaci času s řadičem domény v hypervisoru Hyper-V, otevřete dialogové okno Nastavení a klepněte na kartu Integrační služby. Zrušte zaškrtnutí nebo zaškrtnutí políčka Synchronizace času. U ostatních hypervizorů se obraťte na dokumentaci výrobce.

Konfigurace skupinových zásad

Abyste opravdu přesvědčili počítače v systému Windows, aby používali nastavení času přijatá z řadiče domény, je třeba nakonfigurovat zásady skupiny.

Chcete-li nainstalovat nové zásady skupiny, otevřete nástroj Správa zásad v řadiči domény nebo v počítači s nainstalovanými nástroji pro správu vzdáleného serveru. Rozšiřte svou doménu. Klepněte pravým tlačítkem na položku Objekty zásad skupiny a stiskněte tlačítko Nové. Zadejte novou pojmenování a klikněte na ni OK.

Klepněte pravým tlačítkem myši na novou zásadu a klepněte na ni Upravit. Spustí se okno Editoru zásad skupiny.

Jdi na Konfigurace počítače> Zásady> Šablony pro správu> Systém -> Služba Windows Time> Provozovatelé času. V pravém podokně poklepejte Povolit klient NTP systému Windows. Nastavte volbu na Povoleno a stiskněte tlačítko OK.

Pak poklepejte Nakonfigurujte klienta Windows NTP. Nakonfigurujte nastavení podle následujícího obrázku a přidejte 0x1 v terénu NtpServer, dostat to yourdc.yourdomain.tld, 0x1.

Po uložení zásad skupiny zavřete editor. Vrátíte se do hlavní konzoly pro správu skupiny.

Pokud vaše doména obsahuje velké množství zásad, klepněte pravým tlačítkem myši na novou zásadu a přejděte na Stav GPO> Zakázáno nastavení konfigurace uživatele. Tím se urychlí zpracování jednotlivých zásad.

Nyní klepněte pravým tlačítkem myši na objekt služby Active Directory, na který chcete tuto zásadu aplikovat, a klepněte na tlačítko Propojte stávající objekt GPO. Zvýrazněte novou politiku a klikněte na ni OK. V případě potřeby zopakujte kroky pro další objekty.

Nezapomeňte, že vložené objekty dědí zásady skupiny od své mateřské společnosti v případě, že dědičnost není uzamčen nebo je-li podřízený objekt nemá vlastní přidružené Zásady skupiny, kolidující nastavení.

Konfigurace jiných řadičů domény

Pokud postupujete podle výše uvedených kroků, abyste zajistili časovou synchronizaci v doméně, je téměř zaručeno, že získáte správný čas pro všechny počítače v síti. Proto ostatní řadiče domény (pokud máte několik) můžete ponechat samostatně.

Pokud však chcete mít jistotu, že používají správný čas, můžete upravit místní zásady skupiny. Přejděte do nabídky Začněte >Spustit a zadejte gpedit.msc. Klikněte na tlačítko OK.

Poté použijte stejné nastavení jako v předchozí části. Pokud řadič domény, na který chcete pracovat, spravuje systém Windows Server Core, můžete to provést vzdáleně za předpokladu, že je aktivován firewallem. Jen běž mmc.exe na počítači s grafickým rozhraním otevřete položku nabídky Soubor> Přidat nebo odebrat modul snap-in, poklepejte Editor objektů zásad skupiny a přejděte do počítače, na kterém chcete upravit Zásady skupiny.

Kontrola výsledku

Na libovolném počítači se systémem Windows spusťte příkazový řádek s oprávněními správce a zadejte:

gpupdate

w32tm / dotaz / zdroj

Příkaz na řadiči domény vrátí adresu jednoho ze serverů NTP, které byly zadány jako externí zdroje času z Internetu.

Na uživatelské pracovní stanici příkaz vrátí adresu řadiče domény.

Na virtuálním stroji Hyper-V se zapnutou synchronizací času byste měli vidět zprávu: Provozovatel synchronizace času VM IC.

Pokud příkaz signalizuje, že čas je určen místními hodinami CMOS, časová synchronizace v doméně nefunguje.