Как настроить NTP сервер и синхронизацию времени в домене Active Directory

При работе со специализированным программным обеспечением, системами бухгалтерского учета, программами для трейд-ина на биржах, букмекерскими приложениями и другим софтом большое значение имеет пунктуальность выполнения задач. Несовпадение локального времени со временем компьютера может обернуться для пользователя различными негативными последствиями — вплоть до потери денежных средств.

Для успешного решения задач, требующих поминутной или даже посекундной пунктуальности, достаточно синхронизировать системное время на компьютере со временем той точки земного шара, где физически расположен удаленный сервер. Рассмотрим, для чего это делается, а также приведем инструкцию по настройке функции синхронизации системных часов в Windows 10.

Точное время на компьютере

Базовой задачей любого современного устройства — от смартфона до компьютера — является подсчет времени. Без этой фундаментальной функции выполнение компьютером какой-либо задачи невозможно в принципе. Аппаратная и программная составляющая устройств построена на том, чтобы сначала отсчитывать время, а только потом выполнять возложенную на них задачу.

Локальное время на компьютере требуется только для самого пользователя. Независимо от того, отстают или спешат часа, ПК будет исправно выполнять большинство требуемых задач. Однако при выходе в сеть пользователь может столкнуться с проблемой отказа доступа к какому-либо сетевому ресурсу. Большинство поисковых систем и социальных сетей, не говоря уже о специализированных сетевых сервисах, могут заблокировать компьютер, если его системное время не соответствует времени региона, в котором он расположен физически.

Из этого следует вывод, что точное время нужно не только компьютеру, но и пользователю, так как без этого он не сможет выполнять многие задачи, связанные работой в интернете.

Автоматическая синхронизация времени NTP

Любая операционная система, установленная не компьютер или мобильное устройство, имеет встроенную функцию синхронизации внутренних часов. Эта функция выполняет очень простую задачу — отправляет запрос на сервер синхронизации времени, а затем настраивает системные часы в соответствии с полученным ответом.

Для передачи необходимых данных операционная система использует специальный сетевой протокол NTP — “Network Time Protocol” или “Протокол сетевого времени”. Данным протоколом учитывается длительность задержки между отправкой запроса на сервер и получением ответа от него. Благодаря этому принципу функционирования NTP даже при низкой скорости работы интернета на пользовательском компьютере будет установлено точное время с погрешностью не более 10 миллисекунд (1/100 секунды).

Что такое сервер синхронизации времени?

Сервер синхронизации времени (или сервер точного времени, NTP-сервер) — сервер, в задачу которого входит формирование и отправка пакета данных, в котором и содержится информация о текущем времени того региона, где физически расположен компьютер.

Здесь автоматически напрашивается вопрос: “Откуда сам NTP-сервер получает данные о времени в той или иной точке земного шара?” Все очень просто — NTP-сервер получает нужные данные от государственных служб точного времени или других источников. Последние, в свою очередь, сверяются по времени с реально действующими “Эталонами времени” — сложными комплексами, состоящими из множества технических систем и приборов измерения времени.

Синхронизация времени через TimeServer

В настоящий момент существует большое количество бесплатных NTP-серверов. Одним из самых популярных в России и во многих других странах мира является сервер точного времени TimeServer. Основные преимущества сервера:

• Возможность синхронизации со временем всех стран и городов мира.
• Минимально возможная погрешность (сервер осуществляет синхронизацию времени с атомным эталоном времени).
• Высокая скорость обработки данных независимо от количества подключенных к серверу компьютеров.

Настройка синхронизации времени с сервером TimeServer в Windows 10

Приведем пошаговую инструкцию настройки синхронизации времени с NTP-сервером TimeServer.

Шаг 1

Откройте меню «Пуск» и кликните по значку в виде шестеренки.

Шаг 2

В открывшемся окне «Параметры Windows» выберите раздел «Время и язык».

Шаг 3

Во вновь открывшемся окне перейдите во вкладку «Регион и язык», а затем в раздел «Дополнительные параметры даты и времени, региональные параметры».

Шаг 4

В правой части окна найдите подраздел «Установка даты и времени» и откройте его.

Шаг 5

В окне «Дата и время» откройте вкладку «Время по интернету».

Шаг 6

Нажмите на кнопку «Изменить параметры…».

Шаг 7

• NetPing
• >
• Блог
• >
• Примеры применения
• >
• Пример настройки локального NTP сервера для работы с устройствами NetPing

Примеры применения08.12.2014

Для синхронизации времени устройства NetPing используют протокол NTP. При помощи этого протокола все устройства в сети корректируют своё время по указанному серверу. Устройства NetPing, подключенные к Internet, могут использовать публичный NTP сервер, как рекомендовано в статье. Если доступа к сети Internet нет, то можно настроить локальный NTP сервер. Таким сервером может являться любой компьютер с ОС Windows с настроенной службой W32Time («Служба времени Windows»). Данная служба не имеет графического интерфейса и настраивается либо через командную строку либо путём правки ключей реестра.

Инструкция по настройке сервера NTP на ОС Windows 7/8/2008/2012 

Рассмотрим настройку службы времени через редактирование реестра. Настройка происходит одинаково для версий Windows 7/8, Windows Server 2008, Windows Server 2012.

Для данной настройки необходимо обладать правами администратора ОС Windows

Открываем редактор реестра либо через диалоговое окно «Выполнить», вызванное комбинацией клавиш «Win» + «R», либо через форму поиска, где набираем «regedit».

В открывшемся редакторе в левом древовидном меню открываем «ветвь» «HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesW32TimeTimeProvidersNtpServer», где ищем ключ с названием «Enable». Нажимаем правой кнопкой мыши и выбираем «Изменить». Меняем значение ключа с на 1.

Силовое реле в корпусе для крепления на DIN-рейку предназначено для удаленной коммутации мощной нагрузки.Напряжение подробнее…

Цена: 1 429 руб.

</span></p>NetPing адаптер датчиков с аналоговым интерфейсом 0-20мА, модель 886A01 Адаптер предназначен для подключения аналоговых датчиков, передающих сигнал изменением протекающего подробнее…

Цена: 3 354 руб.

NetPing датчик качества электропитания 1-wire 910S20 Датчик предназначен для мониторинга качества электропитания в розетке. Датчик должен быть подключен подробнее…

Цена: 2 240 руб.

NetPing удлинитель-разветвитель 1-wire на 5 портов, модель R912R1 Активный удлинитель-разветвитель для подключения датчиков 1-wire к устройствам NetPing5 портов для подключения подробнее…

Цена: 1 400 руб.

Устройство NetPing 2/PWR-220 v12/ETH Управляемый блок удаленного распределения питания по сети Ethernet/Internet (IP PDU)2 независимые управляемые подробнее…

Цена: 8 157 руб.

Устройство NetPing 2/PWR-220 v13/GSM3G Управляемый блок удаленного распределения питания по сети Ethernet/Internet (IP PDU) c поддержкой управления подробнее…

Цена: 15 700 руб.

NetPing датчик наличия электропитания 995S1 Датчик позволяет определить наличие напряжения в розетке питания. Выполнен в корпусе блока питания с подробнее…

Цена: 1 224 руб.

WLC10 кабель протечки Чувствительный кабель для использования совместно с датчиком VT592. Может быть смонтирован в труднодоступных подробнее…

Цена: 6 700 руб.

VT592 кабельный датчик протечки Датчик предназначен для работы совместно с кабелем протечки WLC10. Возможность подключения датчика как подробнее…

Цена: 3 800 руб.

За работу сервера и клиента NTP отвечает “Служба времени Windows” (“W32Time“).Для настройки сервера на ОС Windows проделайте следующие шаги: 1. Устанавливаем автоматический запуск сервиса “W32Time“. Для этого в ветке реестра “HKLMSystemCurrentControlSetServicesW32Time” задаём для параметра “Start” значение 2. 2. Затем открываем “HKLMSystemCurrentControlSetServicesW32TimeTimeProvidersNtpServer” и устанавливаем “Enabled” в единицу. 3. Правим следующие параметры: – ветка: “HKLMSystemCurrentControlSetServicesW32TimeParameters“, параметр “Type” может принимать следующие значения:NoSync – NTP-сервер не синхронизируется с каким-либо внешним источником времени. Используются часы, встроенные в микросхему CMOS самого сервера;NTP – NTP-сервер синхронизируется с внешними серверами времени, которые указаны в параметре реестра “NtpServer“;NT5DS – NTP-сервер производит синхронизацию согласно доменной иерархии;AllSync – NTP-сервер использует для синхронизации все доступные источники; – параметр “NtpServer“, где указывается хост, с которым будет синхронизировать время данный сервер. При необходимости можно добавить несколько хостов, введя их DNS имена или IP адреса через пробел. В конце каждого имени через запятую можно добавлять флаг, который определяет режим для синхронизации с сервером времени.Допускаются следующие значения:0x1 – SpecialInterval, использование специального интервала опроса;0x2 – режим UseAsFallbackOnly;0x4 – SymmetricActive, симметричный активный режим;0x8 – Client, отправка запроса в клиентском режиме. При использовании флага “SpecialInterval“, необходимо установленное значение интервала в ключе “SpecialPollInterval“. При значении флага “UseAsFallbackOnly” службе времени сообщается, что данный сервер будет использоваться как резервный, и перед синхронизацией с ним будут выполняться обращения к другим серверам списка. Симметричный активный режим используется NTP-серверами по умолчанию, а клиентский режим можно задействовать в случае проблем с синхронизацией; – ветка “HKLMSystemCurrentControlSetServicesW32TimeConfig“, параметр “AnnounceFlags” отвечает за то, как о себе заявляет NTP-сервер и может принимать следующие значения: 0x0 (Not a time server) – сервер не объявляет себя через NetLogon, как источник времени. Он может отвечать на NTP запросы, но соседи не смогут распознать его;0x1 (Always time server) – сервер будет всегда объявлять о себе вне зависимости от статуса;0x2 (Automatic time server) – сервер будет объявлять о себе только, если он получает надежное время от другого соседа (NTP или NT5DS);0x4 (Always reliable time server) – сервер будет всегда заявлять себя, как надежный источник времени;0x8 (Automatic reliable time server) – контроллер домена автоматически объявляется надежным если он – PDC-эмулятор корневого домена леса. Этот флаг позволяет главному PDC леса заявить о себе как об авторизованном источнике времени даже при отсутствии связи с вышестоящими NTP-серверами. Ни один контроллер или рядовой сервер (имеющие по умолчанию флаг 0x2) не может заявить о себе, как о надежном источнике времени, если он не может найти источник для себя.Значение “AnnounceFlags” может составлять сумму его флагов, например:10=2+8 – NTP-сервер заявляет о себе как о надежном источнике времени при условии, что сам получает время из надежного источника либо является PDC корневого домена. Флаг 10 задается по умолчанию как для членов домена, так и для отдельно стоящих серверов.5=1+4 – NTP-сервер всегда заявляет о себе как о надежном источнике времени. Например, чтобы заявить рядовой сервер (не контроллер домена) как надежный источник времени, нужен флаг 5; – ветка “HKLMSystemCurrentControlSetServicesW32TimeTimeProvidersNtpClient“, параметр “SpecialPollInterval” задается в секундах и по умолчанию его значение равно 604800, что составляет одну неделю. Это довольно много, поэтому стоит уменьшить значение, скажем, до часа (3600). 4. После сделанных настроек можно запускать службу времени: “net start w32time“. Если сервис уже работал, примените конфигурацию командой “w32tm /config /update” и перезапустите: “net stop w32time && net start w32time“. 5. После перезапуска службы NTP-сервер уже активен и может обслуживать клиентов. Убедиться в этом можно с помощью команды “w32tm /query /configuration“. Эта команда выводит полный список параметров службы. Если раздел “NtpServer” содержит строку “Enabled:1“, то все в порядке. 6. При запущенном фаерволе не забудьте открыть UDP порт 123 для входящего и исходящего трафика.

Сразу оговорим важные вещи:

1. Работа по настройке точного времени на участниках домена через GPO часто делят на 2 части: настройки сервера/-ов и настройки клиентских машин.
2. Настройку клиентских машин на получение точного времени некоторые администраторы делают через политики (в частности правкой политики Default Domain Policy), но я так не делаю, ибо все входящие в домен машины «автоматически узнают», что сервер времени для них — контроллер домена. Клиентские машины я только проверяю на правильное соединение с нашим сервером NTP.

Для начала определяю какой контроллер домена Windows Server 201x имеет роль PDC (если я этого не знаю )) ), если контроллеров домена несколько, как в моём случае. Для этого на любом компьютере или сервере, входящем в домен! , запускаю командную строку  от имени Администратора:

Не будем обсуждать распределение ролей между контролерами, в тестовом домене у меня все роли принадлежат одному контроллеру, и перейдя на сервер ADDC01 (в моём случае) — начнем его настройку.

1. Для начала создадим WMI-фильтр, который будет применять нашу новую политику только к серверу с ролью эмулятора PDC

2. Создадим новую групповую политику и применим к ней фильтр WMI, созданный нами выше. Нас интересует путь: Computer Configuration — Administrative Templates — System — Windows Time Service — Time Providers (Конфигурация компьютера -> Политики -> Административные шаблоны -> Система -> Служба времени Windows -> Поставщики времени)

Здесь нам нужно включить три политики:Enable Windows NTP Client: EnabledEnable Windows NTP Server: EnabledConfigure Windows NTP Client: Enabled

Пункт Configure Windows NTP client имеет следующие настройки:

Я использовал следующий список серверов точного времени:

3. Создав политику не забываем применить к ней фильтр WMI:

4. Пришло время обновить политики на сервере времени и синхронизировать время. Запускаем командную строку от имени Администратора.

Обновляем политики на контроллере PDC:

Запускаем ручную синхронизацию времени:

Проверяем текущие настройки NTP:

Делаем наш контроллер PDC в качестве надежного источника времени для клиентов:

Всё, служба времени Windows Server должна: 1 — работать, 2 — успешно синхронизировать время с внешним источником и убедиться в этом можно выполнив команду:

Проверка второго контроллера домена ADDC02 на успешную синхронизацию времени:

Так же, в командной строке от имени Администратора выполним на втором контроллере домена

Выполним те же команды, но на клиентской машине:

Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.

Как настроить NTP сервер и синхронизацию времени в домене Active Directory

Добрый день уважаемые читатели и гости блога pyatilistnik.org, как много люди говорят о времени, что оно быстро или медленно бежит, и все понимают, что оно бесценно и важно. Так и в инфраструктуре Active Directory, она является одним из важнейших факторов, правильного функционирования домена. В домене все друг другу доверяют, и один раз авторизовавшись и получив все тикеты от Kerberos, пользователь ходит куда угодно, ограничиваясь лишь своими доступными правами. Так вот если у вас не будет точного времени на ваших рабочих станциях к контроллеру домена, то можете считать, что у вас начинаются серьезные проблемы, о которых мы поговорим ниже и рассмотрим как их устранить с помощью настройки NTP сервера в Windows.

Синхронизация времени в Active Directory

Среди компьютеров, участвующих в Active Directory работает следующая схема синхронизация времени.

• Контроллер корневого домена в лесу AD, которому принадлежит FSMО-роль эмулятора PDC (назовем его корневым PDC), является источником времени для всех остальных контроллеров этого домена.
• Контроллеры дочерних доменов синхронизируют время с вышестоящих по топологии AD контроллеров домена.
• Рядовые члены домена (сервера и рабочие станции) синхронизируют свое время с ближайшим к ним доступным контроллером домена, соблюдая топологию AD.

Корневой PDC может синхронизировать свое время как со внешним источником, так и с самим собой, последнее задано конфигурацией по умолчанию и является абсурдом, о чем периодически намекают ошибки в системном журнале.

Синхронизация клиентов корневого PDC может осуществятся как с его внутренних часов, так и с внешнего источника. В первом случае сервер времени корневого PDC объявляет себя как «надежный» (reliable).

Далее я приведу оптимальную с моей точки зрения конфигурацию сервера времени корневого PDC, при которой сам корневой PDC периодически синхронизирует свое время от достоверного источника в интернете, а время обращающихся к нему клиентов синхронизирует со своими внутренними часами.

Для того, чтобы понять кто у вас в сети является NTP сервером из контроллеров домена, прочитайте вот эту статью, многие вопросы отпадут сами собой

Вводим netdom query fsmo. В моем примере, роль PDC и NTP сервера, принадлежит контроллеру dc7

Конфигурация NTP-сервера на корневом PDC

Конфигурирование сервера времени в Windows (NTP-сервера) может осуществляться как с помощью утилиты командной строки w32tm, так и через реестр. Где возможно, я приведу оба варианта. Но в начале посмотрите полностью ваши настройки на компьютере, делается это командой:

w32tm /query /configuration

[TimeProviders]

Включение синхронизации внутренних часов с внешним источником

• [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParameters] "Type"="NTP"
• w32tm /config /syncfromflags:manual

Объявление NTP-сервера в качестве надежного

• [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfig] "AnnounceFlags"=dword:0000000a
• w32tm /config /reliable:yes

Включение NTP-сервера

NTP-сервер по умолчанию включен на всех контроллерах домена, однако его можно включить и на рядовых серверах.

• [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProvidersNtpServer] "Enabled"=dword:00000001

Задание списка внешних источников для синхронизации

• [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParameters] "NtpServer"="time.nist.gov,0x8 ntp1.imvp.ru,0x8 ntp2.imvp.ru,0x8 time.windows.com,0x8 ru.pool.ntp.org,0x8"
• w32tm /config /manualpeerlist:"time.nist.gov,0x8 ntp1.imvp.ru,0x8 ntp2.imvp.ru,0x8 time.windows.com,0x8 ru.pool.ntp.org,0x8"

Флаг 0×8 на конце означает, что синхронизация должна происходить в режиме клиента NTP, через предложенные этим сервером интервалы времени. Для того, чтобы задать свой интервал синхронизации, необходимо использовать флаг 0×1.

Задание интервала синхронизации с внешним источником

Время в секундах между опросами источника синхронизации, по умолчанию 900с = 15мин. Работает только для источников, помеченных флагом 0×1.

• [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProvidersNtpClient] "SpecialPollInterval"=dword:00000384

Установка минимальной положительной и отрицательной коррекции

Максимальная положительная и отрицательная коррекция времени (разница между внутренними часами и источником синхронизации) в секундах, при превышении которой синхронизация не происходит. Рекомендую значение 0xFFFFFFFF, при котором коррекция сможет производиться всегда.

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfig] "MaxPosPhaseCorrection"=dword:FFFFFFFF "MaxNegPhaseCorrection"=dword:FFFFFFFF

Все необходимое одной строкой

w32tm.exe /config /manualpeerlist:"time.nist.gov,0x8 ntp1.imvp.ru,0x8 ntp2.imvp.ru,0x8 time.windows.com,0x8 pool.ntp.org,0x8" /syncfromflags:manual /reliable:yes /update

Полезные команды

• Применение внесенных в конфигурацию службы времени измененийw32tm /config /update
• Принудительная синхронизация от источникаw32tm /resync /rediscover
• Отображение состояния синхронизации контроллеров домена в доменеw32tm /monitor
• Отображение текущих источников синхронизации и их статусаw32tm /query /peers

Настройка NTP сервера и клиента групповой политикой

Раз уж у нас с вами домен Active Directory, то глупо не использовать групповые политики, для массовой настройки серверов и рабочих станций, я покажу как настроить ваш NTP сервер в windows и клиента. Открываем оснастку “Редактор групповых политик”. Перед тем как настроить наш NTP сервер в Windows, нам необходимо создать WMI фильтр, который будет применять политику, только к серверу мастера PDC.

Вводим имя запроса, пространство имен, будет иметь значение “rootCIMv2” и запрос “Select * from Win32_ComputerSystem where DomainRole = 5”. Сохраняем его.

Затем вы создаете политику на контейнере Domain Controllers.

В самом низу политики применяете ваш созданный WMI фильтр.

Переходим в ветку: Конфигурация компьютера > Политики > Административные шаблоны > Система > Служба времени Windows > Поставщики времени.

Тут открываем политику “Настроить NTP-клиент Windows”. Задаем параметры

• NtpServer: 0.ru.pool.ntp.org,0x1 1.ru.pool.ntp.org,0x1 2.ru.pool.ntp.org,0x1 3.ru.pool.ntp.org,0x1
• Type: NTP
• CrossSiteSyncFlags: 2. Двойка означает, если этот параметр равен 2 (Все), можно использовать любого участника синхронизации. Это значение игнорируется, если не задано значение NT5DS. Значение по умолчанию: 2 (десятичное) (0x02 (шестнадцатеричное))
• ResolvePeerBackoffMinutes: 15. Это значение, выраженное в минутах, определяет интервал ожидания службы W32time перед попыткой разрешения DNS-имени в случае неудачи. Значение по умолчанию: 15 минут
• Resolve Peer BAckoffMaxTimes: 7. Это значение определяет число попыток разрешения DNS-имени, предпринимаемых службой W32time перед перезапуском процесса обнаружения. При каждом неудачном разрешении DNS-имени интервал ожидания перед следующей попыткой удваивается. Значение по умолчанию: семь попыток.
• SpecilalPoolInterval: 3600. Это значение параметра NTP-клиента, выраженное в секундах, определяет частоту опроса настроенного вручную источника времени, который использует особый интервал опроса. Если для параметра NTPServer установлен флаг SpecialInterval, клиент использует значение, заданное как SpecialPollInterval, вместо значений MinPollInterval и MaxPollInterval, чтобы определить частоту опроса источника времени. Значение по умолчанию: 3600 секунд (1 час).
• EventLogFlags: 0

Делаем отдельную групповую политику для клиентских рабочих машин, вот с такими параметрами.

• NtpServer: Адрес вашего контроллера домена с ролью PDC.
• Type: NT5DS
• CrossSiteSyncFlags: 2
• ResolvePeerBackoffMinutes: 15
• Resolve Peer BAckoffMaxTimes: 7
• SpecilalPoolInterval: 3600
• EventLogFlags: 0

Далее идем на клиента и обновляем групповые политики gpupdate /force и вводим команду w32tm /query /status

Особенности виртуализированных контроллеров домена

Контроллеры домена, работающие в виртуализированной среде, требуют к себе особенного отношения.

• Средства синхронизации времени виртуальной машины и хостовой ОС должны быть выключены. Во всех адекватных системах виртуализации (Microsoft, vmWare и т. д.) присутствуют компоненты интеграции гостевой ОС с хостовой, которые значительно повышают производительность и управляемость гостевой системой. Среди этих компонентов всегда есть средство синхронизации времени гостевой ОС с хостовой, которое очень полезно для рядовых машин, но противопоказано для контроллеров домена. Потому как в этом случае весьма вероятен цикл, при котором контроллер домена и хостовая ОС будут синхронизировать друг друга. Последствия печальны.
• Для корневого PDC синхронизация с внешним источником должна быть настроена всегда. В виртуальной среде часы не настолько точны как в физической, потому как виртуальная машина работает с виртуальным процессором и прерываниями, для которых характерно как замедление, так и ускорение относительно «обычной» частоты. Если не настроить синхронизацию виртуализированного корневого PDC с внешним источником, время на всех компьютерах предприятия может убегать/отставать на пару часов в сутки. Не трудно представить неприятности, которые может принести такое поведение.

Ноя 3, 2014 10:44Используемые источники:

• https://www.timeserver.ru/sync/ntp/windows-10
• http://www.netping.ru/blog/primer-nastrojki-lokalnogo-ntp-servera-dlya-raboty-s-ustrojstvami-netping
• http://moonlightsoft.blogspot.com/2015/04/ntp-windows.html
• https://www.geeklib.ru/admins/windows-server/2019/02/20/nastrojka-domennogo-servera-vremeni-ntp-v-windows-server-2012r2-2016-cherez-gpo/
• http://pyatilistnik.org/kak-nastroit-ntp-server-i-sinhronizatsiyu-vremeni-v-domene-active-directory/