Синхронизация времени в Windows

Синхронизация времени в Windows

Кто поделится, как и с чем синхронизируется время на
а) домашнем компе
б) компах офиса
в) серверах/рабочих станциях
?
В Linux этот вопрос как-то и не поднимается, а вот у клиентов я тут и там вижу брошенные сервисы Windows Time.

[ > ] есть кое-какие клиенты, но хочется нативного

Для винды файлик с расширением .reg со след содержимым

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParameters]
"NtpServer"="srv-time"
"Type"="NTP"
"Period"="SpecialSkew"

NtpServer — NTP сервер с которым синхронизировать (в лок сетке контроллер домена например или циска, дома любой доступный в интернете)
вот например с каким синхронизируется рабочая сетка — ntp.psn.ru
амеровские стараюсь не использовать, на всякий случай.

Вообще жисть с NTP в сетях с доменами и т.д.

На центральной циске надо поднять ntp сервер и настроить разрешения, что бы все внутренние подсети могли с неё брать по NTP.
В корп DNS обозвать интерфейс циски с NTP сервером например srv-time.xxx.xx.

Потом на контроллере домена:
Для настройки надо задать соответствующую групповую политику. Чтобы открыть консоль управления групповыми политиками, в меню Пуск выберите Выполнить и введите команду «gpedit.msc». В открывшейся консоли в дереве политик (слева) найдите следующую ветвь:

* Политика "Локальный компьютер"
o Конфигурация компьютера
+ Административные шаблоны
# Система
* Служба времени Windows
o Поставщики времени

В списке политик (справа) выберите Настроить Windows NTP-клиента и дважды щёлкните для открытия свойств этой политики.
в поле тип — NTP
в поле NtpServer введите «"адрес циски",0x8 "внешний сервер",0x2»
(между двумя значениями должен быть пробел, адреса без кавычек, можно просто IP, внешнего лучше не вводить для надёжности)
Коды 0x8 и 0x2 означают, соответственно, что первый сервер будет использоваться в обычном режиме, а второй будет резервным.
После этого контроллер по NTP синхронизирует время, а остальные контроллеры + остальные доменные компы получают общее время. Не доменные компы с помощью рег-файла настраиваются на srv-time.xxx.xx и по всей внутренней сети все счастливы.

Когда первый раз на контроллере настраиваешь NTP-клиента лучше после первой синхронизации времени проверить, что время не сильно изменилось. Если случай был запущенный и время в домене сильно отличалось от настоящего у одного контроллера время установится от NTP источника а другие контроллеры не смогут синхронизироваться, потому что у источника и получателя получится слишком большой разбег по времени. Туда же и возникнут проблемы с репликацией и т.д.

PS: У меня только IP-АТС приходится ручками время подводить, не разбирался как в ней настроить получение по NTP

Как установить роль контроллера домена на Windows Server

Для контроллера домена необходимо заранее задать имя компьютера и настроить статический IP-адрес. Это важно, так как смена этих настроек на рабочем активном каталоге может привести к потери работоспособности системы.

Проверяем настройку системного времени и часового пояса. Данный параметр также важен для устанавливаемой роли.

2. Установка роли AD DS

Открываем Диспетчер серверов

Нажимаем Управление — Добавить роли и компоненты:

Если откроется окно с приветствием, просто нажимаем Далее. В следующем окне оставляем Установка ролей и компонентов и нажимаем Далее:

Выбираем сервер, на который будет установлена роль контроллера домена (по умолчанию выбран локальный сервер) и нажимаем Далее:

Среди всех ролей выбираем следующие:

• DHCP-сервер
• DNS-сервер
• Доменные службы Active Directory

* на самом деле, для работы роли контроллера домена не обязательна установка первых двух. Они могут быть настроены на других серверах.

В следующем окне Выбор компонентов просто нажимаем Далее.

Досчелкиваем Далее до конца и нажимаем Установить:

Те же действия можно выполнить командой Powershell:

Install-WindowsFeature -Name DNS, DHCP, AD-Domain-Services -IncludeManagementTools

3. Повышение сервера до контроллера домена

После завершения установки роли не торопимся закрывать окно. Кликаем по пункту меню Повысить роль этого сервера до уровня контроллера домена:

* если мы перезагрузим сервер, повысить роль можно вернувшись в диспетчер серверов.

В открывшемся окне выбираем операцию развертывания. Если разворачивается первый контроллер домена в сети, оставляем выбор на Добавить новый лес, вводим имя домена и нажимаем Далее:

В следующем окне оставляем все как есть и вводим надежный пароль для режима восстановления:

В окне Параметры DNS нажимаем Далее.

В окне Дополнительные параметры автоматически будет подобрано имя NetBIOS. Его менять не обязательно — просто нажимаем Далее:

В окне Пути стоит оставить все, как есть. Нажимаем Далее. В окне Просмотреть параметры проверяем правильность введенных данных и нажимаем Далее.

Начнется проверка системы на соответствие требованиям. Если ошибок не будет, активируется кнопка Установить. Прочитайте все предупреждения, нажмите на данную кнопку и дождитесь окончания повышения сервера до контроллера домена. Сервер будет перезагружен, а после перезагрузки станет контроллером.

Настройка после развертывания сервиса

После развертывания контроллера домера, выполняем следующие действия.

Синхронизация времени

На контроллере домена с ролью PDC Emulator необходимо настроить источник синхронизации времени. Для этого открываем командную строку от администратора и вводим команду:

w32tm /config /manualpeerlist:"time.nist.gov,0x8 time.windows.com,0x8" /syncfromflags:manual /reliable:yes /update

* данная команда задаст в качестве источника времени 2 сервера — time.nist.gov и time.windows.com.
* если мы не знаем, на каком контроллере у нас роль PDC Emulator, воспользуемся инструкцией Управление FSMO через powershell.

Соответствие рекомендациям Best Practice

1. Создание коротких имен файлов должно быть отключено

Ранее в DOS все файлы называли в формате 8.3 — 8 символов под имя, 3 для расширения. Необходимость такого подхода сильно устарело, однако по умолчанию для обеспечения совместимости может быть включено.

В командной строке от имени администратора вводим:

fsutil 8dot3name set 1

Готово — поддержка создания коротких имен отключено.

2. Файл Srv.sys должен быть настроен на запуск по требованию.

В обычной командной строке от имени администратора вводим:

sc config srv start= demand

3. Некоторые сетевые адаптеры поддерживают RSS, но эта возможность отключена.

Необходимо для сетевого адаптера, который используется для подключения к сети, включить RSS.

Вводим команду в Powershell:

4. Некоторые сетевые адаптеры поддерживают IPsec TOv2, но эта возможность отключена.

Вводим команду в Powershell:

Настройка DNS

Как правило, на один сервер с ролью контроллера домена устанавливается DNS. В этом случае необходимо выполнить ряд действий.

1. Настройка перенаправления.

Если наш сервер DNS не может ответить на запрос, он должен передавать его на внешний сервер. Для настройки перенаправления открываем консоль управления сервером имен и кликаем правой кнопкой по названию сервера — выбираем Свойства:

Переходим на вкладку Сервер пересылки:

Кликаем по кнопке Изменить:

Вводим адреса серверов, на которые хотим переводить запросы:

* это могут быть любые DNS, например, глобальные от Google или Яндекса, а также серверы от Интернет-провайдера.

2. Удаление корневых ссылок

Если наш сервер не работает по Ipv6, стоит удалить корневые ссылки, которые работают по этой адресации. Для этого заходим в свойства нашего сервера DNS:

Переходим во вкладку Корневые ссылки:

Мы увидим список серверов имен — удаляем все с адресами IPv6.

3. Включение очистки

Чтобы в DNS не хранилось много ненужных записей, настраиваем автоматическую читску. Для этого открываем настройки сервера имен:

Переходим на вкладку Дополнительно:

Ставим галочку Разрешить автоматическое удаление устаревших записей и ставим количество дней, по прошествию которых считать запись устаревшей:

Проверка корректности работы AD

После выполнения всех процедур по настройке сервера, ждем около 15 минут. После открываем командную строку от администратора и вводим:

Данная команда выполнит диагностику работы контроллера домена и отобразит все замечания. Если такие будут, необходимо самостоятельно найти решение в сети.

Настраиваем NTP, Время, Часовой пояс

Сегодня пришлось повозиться на держателе домена (windows 2003) и корректно настроить ntp. Ниже будет информацию, которая мне помогла.

Процедура по восстановлению работоспособности сервиса w32tm

1. Находим все DC и того, кто из них PDC эмулятор

2. Проверяем доступность сервера времени с PDC эмулятора

portqry –n ntp.mydomain.ua –e 123 –p UDP Querying target system called: ntp.mydomain.ua Attempting to resolve name to IP address… Name resolved to 10.10.72.17
UDP port 123 (ntp service): LISTENING or FILTERED

Должно быть именно так “LISTENING or FILTERED”.

Эта утилита входит в комплект Support Tools для Windows 2003 Server. К сожалению, на Windows 2008 R2 она не работает.

3. В regedit открываем параметры ntp сервера

Там должен быть записан ip адрес или полное имя нашего ntp сервера и запись должна обязательно заканчиваться строкой “,0x1”. Кавычки, понятное дело, нужно убрать. Для уверенности в том, что тут нету ошибки, можно пропинговать указанный ntp-сервер.

4. Там же, следует перейти к параметру Type:

и убедиться, что там прописано NTP, а не NT5DS

5. Теперь следует проверить еще одно значение: AnnounceFlags

тут должна быть 5

6. Перезапускаем сервис времени:

7. Синхронизируемся:

8. На остальных контроллерах домена рекомендуется переустановить службу времени

Команда: «w32tm /unregister && w32tm /register» удаляет службу времени, а затем снова ее устанавливает, причем, что важно, удаляется, а затем создается заново вся ветка параметров в реестре.

9. Рекомендуется перезапустить контроллер домена, являющийся pdc эмулятором, да и все остальные тоже.

10. Если на pdc эмуляторе ошибки все равно наблюдаются, то стоит попробовать изменить формат клиентских запросов

Меняем значение с 0x1 на 0x8

11. Перезапускаем сервис времени

12. Рекомендуется проверить все политики, имеющие отношение к настройкам сервиса времени:

Default Domain Controllers group policy, Default Domain group policy и другие в которых изменены любые значения в разделе

Computer configuration/Administrative Templates /System/Windows Time service/Time Providers

Убедитесь, что все значения там в состоянии “not configured”. При необходимости, играть с параметрами следует позже.

Если что-то меняли в политике, то перезапускаем сервис времени: net stop w32time && net start w32time

13. Если так ничего не помогло, то нужно обнулить параметры сервиса времени и на pdc эмуляторе:

net stop w32time w32tm /unregister w32tm /register

После чего нужно будет настраивать все параметры заново, начиная с п.3.

Если вдруг, на этапе удаления напишет про запрет доступа, то нужно перезагрузиться.

Включение лога сервиса времени

В особо тяжелых случаях может помочь включение лога для сервиса. Для настройки этого используются три параметра в реестре по пути:

Если нижеприведенных ключей там нету, а их нету по умолчанию, то их следует создать

• FileLogSize, Type: DWORD, Data: 10000000 — максимальный размер лог-файла в байтах.
• FileLogName, Type: REG_SZ (String), Data: C:Testw32time_log.txt — адрес нахождения лог-файла
• FileLogEntries, Type: REG_SZ (String), Value: 0-116 — уровень детализации лога. Максимальный диапазон: 0-300.

Вместо изменения значений в реестре, можно то же самое сделать из командной строки:

Чтобы выключить логи отладки можно ввести команду:

Если Вы перенесли роль PDC Emulator на другой сервер, необходимо дополнительно выполнить настройку старого сервера командой

и перезапустить службу времени:

Первое решение проблемы «no time data was available»

Еще раз обращу внимание, что проблема была в доменных политиках.

Команда w32tm /resync выдавала ошибку

The computer did not resync because no time data was available.

Решено это было следующим образом:

1. Start / Run / dsa.msc / OK.
2. Right-click the Domain Controllers container and press Properties.
3. Select the Group Policy tab.
4. Select the Default Domain Controllers Policy and press Edit. If GPMC is implemented, press Open first.
5. Expand Computer Configuration / Administrative Templates / System / Windows Time Service.
6. Right-click Global Configuration Settings and press Properties.
7. Select Not Configured.
8. Press Apply and OK.
9. Expand Windows Time Service.
10. Double-click Enable Windows NTP Client.
11. Select Not Configured.
12. Press Apply and OK.
13. Double-click Configure Windows NTP Client.
14. Select Not Configured.
15. Press Apply and OK.
16. Double-click Enable Windows NTP Server.
17. Select Not Configured.
18. Press Apply and OK.
19. Exit the Group Policy Editor.
20. Close any open policy dialog boxes.
21. Open a CMD.EXE window.
22. Type gpupdate /force and press Enter.

Второе решение проблемы «no time data was available»

Во второй раз с этой же ошибкой с я столкнулся через пару лет. При попытке получить время от нашего cisco роутера, при помощи команды w32tm /resync, видел ошибку:

Sending resync command to local computer.
The computer did not resync because no time data was available.

Команда синхронизации отправлена на local computer.
Синхронизация не выполнена, поскольку нет доступных данных о времени.

При этом вышеописанные действия уже были совершены.

Служба win32time отсылала «симметрические пакеты»: в снифере wireshark я видел что windows сервер отсылает пакеты «NTP Version 3, symmetric active», но никакого ответа от CISCO не получал.

В логах службы сообщалось «No response from peer», а в логах роутера:

В этой случае мне помогла команда:

и перезапуск службы времени.

После этого в wireshark увидел нормальный обмен пакетами:

• windows сервер посылал пакеты «NTP Version 3, client»
• cisco роутер отвечал пакетами «NTP Version 3, server»

Настраиваем период синхронизации времени

Инструкция работает на компьютерах которые не включены в домен.

Переходим к редактированию реестра: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32Time TimeProvidersNtpClientSpecialPollInterval — ключ в реестре, задает период обновления синхронизации времени в системе в секундах. Вводим в десятичном формате необходимый период.

После этого перезагружаем компьютер или вводим команду w32tm /config /update

Проверить с какой периодичностью происходит синхронизация времени:

• Кликаем по часам в панели задач
• Переходим к «изменение настроек даты и времени», вкладка «Время по Интернету»
• Жмем кнопку «Изменить параметры»
• Убеждаемся что установлена галочка возле «Синхронизировать с сервером времени в Интернете»
• Выбираем нужный сервер, жмем кнопку «Обновить сейчас» и ждем пока не появиться надпись «Время было успешно синхронизировано», если же увидели надпись «Ошибка при выполнении синхронизации» то выбираем другой сервер.
• После успешной синхронизации жмем кнопку «ОК» и на вкладке «Время по Интернету» смотрим когда будет «Следующее выполнение синхронизации»

Указание часового пояса через групповые политики

• Открываем политику для контейнера где находиться компьютер
• Переходим к Конфигурация компьютера — Настройка — Конфигурация Windows — Реестр
• Левый клик по правой белой области в области «Реестр» и выбираем пункт меню «Создать» — «Мастер реестра»
• Выбираем компьютер на котором установлен нужный часовой пояс (у меня это локальный)
• В Браузере реестра переходим к «HKLM System CurrentControlSet Control TimeZoneInformation»
• Отмечаем все ключи в этой папке и жмем «готово»
• Все теперь на локальных компьютерах автоматически будет устанавливаться необходимый часовой пояс и после перезагрузки устанавливаться правильной время

Полезные команды связанные со службой времени ntp:

• netdom query fsmo — раскажет кто PDC (главный сервер времени в домене)
• w32tm /monitor
• w32tm /config /manualpeerlist:time.windows.com,0x1 /syncfromflags:manual /reliable:yes /update — команда которая настроит ваш доменный контроллер с ролью «Эмулятора PDC» на синхронизацию с внешним источником
• w32tm /stripchart /computer:time.windows.com /samples:5 /dataonly — 5 сравнений с источником
• net time /querysntp — показывает кто является ntp сервером
• w32tm /query /peers — показывает источник, сколько времени осталось до синхронизации, режим работы, страту, интервал опроса
• w32tm /query /status — отображает индикатор помех, старту, точность, задержку корня, дисперсию, время последней успешной синхронизации, источник и интервал опроса
• net time /setsntp:192.168.1.1 — задает ntp-сервер.
• w32tm /debug /enable /file:C:Testw32time_log.txt /size:100000 /entries:0-300 — включаем ведение лога службой времени
• w32tm /debug /disable — отключаем логирование
• w32tm /config /update — применить/обновить конфигурацию.
• w32tm /query /configuration — полный список параметров службы

Помните что после любых изменений в конфигурации ntp-службы нужно ее перезапускать, команда:

Синхронизация часового пояса с контроллером домена

А тем временем пришло время вытащить данную статью из черновиков. И как нестранно продолжить писать. Пока это черновик, предстоит его проверить, когда выпадет возможность пока не знаю.
Вариантов решения несколько, от регистрации DLL, что можно видеть ниже:

Команда, чтобы отключить службу времени Windows:
net stop w32time

Команду, чтобы отменить регистрацию службы времени Windows и удалить всю информацию о настройках из реестра:
w32tm /unregister

Команду, чтобы зарегистрировать службу времени Windows и загрузить настройки по умолчанию в реестр:
w32tm /register

Команда, чтобы запустить службу времени Windows:
net start w32time

Команда, чтобы заставить компьютер синхронизировать компьютер без ожидания:
w32tm /resync /nowait

Ручной настройки через командную строку, а следовательно и можно батничек в автозагрузку добавить :).

В Windows есть отличное средство управления синхронизацией времени — w32tm. Основные команды конфигурации w32tm:

w32tm /monitor — Просмотр информации по домену.
w32tm /resync — Команда принудительной синхронизации с заданным в конфигурации источником.
w32tm /register – Включение службу времени и регистрирует её на компьютере. При этом вся ветка параметров в реестре создается заново.
w32tm /unregister — Отключение службы времени т удаление её с компьютера.
w32tm /config /update — Применить и сохранить конфигурацию.
w32tm /config /syncfromflags:domhier /update – Задаем настройку синхронизации с контроллером домена.
w32tm /config /syncfromflags:manual /manualpeerlist:time.windows.com – задать конкретные источники синхронизации времени по протоколу NTP. (не работает в Win10 release 1803 сборка 17134.950)

Просмотр параметров (/query)
w32tm /query /source – Показать источник времени.
w32tm /query /status – Статус службы времени.
w32tm /query /peers – Показать источники времени и их состояние.
w32tm /query /computer: — Информация о статусе синхронизации определенной станции (если имя не указано — используется локальный компьютер).
w32tm /query /configuration — Вывод всех настроек службы времени Windows.

Синхронизация через Net time Так же можно воспользоваться вспомогательной службой net time для синхронизации времени.
net time /setsntp:time.ntp.org — Задаем источник синхронизации. (не работает в Win10 release 1803 сборка 17134.950)
net time /querysntp — просмотр информации о заданном источнике времени. (не работает в Win10 release 1803 сборка 17134.950)
net time server.lan.local /set /y – Принудительная синхронизация с указанного источника. (не работает в Win10 release 1803 сборка 17134.950)

• windows10
• regedit
• timezone
• fixit
• ntp
• синхронизация часов
• время
• w32tm
• release 1803
• сборка 17134.950

• Назад
• Вперед

Если вам помогла статья или информация была полезной. Благодарность, не должна знать границ.