Задать ntp сервер windows

howto:ntp_server_activation

Ok

Синхронизация времени в домене Active Directory критически важна для корректного функционирования сервисов и механизмов безопасности. Если в домене не настроена четкач схема синхронизации времени, это может вызвать проблемы с аутентификацией, работой криптографических протоколов, сертификатов при взаимодействии со внутренними и внешними системами. Так, например, Kerberos аутентификация требует, чтобы время между клиентом и сервером не отличалась более чем на пять минут. В этой статье, мы рассмотрим, как должна работать синхронизация времени в домене AD, и как настроить синхронизацию контроллера домена с внешним источником точного времени (NTP).

Как работает синхронизация времени в домене AD?

Схема синхронизации времени в домене Active Directory имеет строгую иерархию:

• Главным источником времени в домене является контроллер домена с FSMO ролью эмулятора PDC.
• С PDC синхронизируют время все остальные контроллеры домена.
• Рядовые сервера и рабочие станции синхронизируют свое время с ближайшими DC согласно топологии AD (по умолчанию компьютеры Windows синхронизируют время внешним
  time.windows.com
  , но после добавления в домен синхронизация выполняется согласно иерархии домена)

Картинка с сайта: winitpro.ru

Источник

Для обеспечения точного времени на всех компьютерах домена, нужно настроить синхронизацию PDC с неким внешним источником точного времени по протоколу NTP.

Чтобы определить имя контроллера домена, на котором запущена FSMO роль эмулятора PDC, выполните PowerShell команду:

Get-ADDomain | Select-Object PDCEmulator

Картинка с сайта: winitpro.ru

Ручная настройка синхронизация времени контроллера домена PDC с внешним NTP источником

По умолчанию PDC синхронизирует время с аппаратными часами материнской платы физического сервера, на котором он запущен. Это можно проверить, выполнив на нем команду:

w32tm /query /source

Local CMOS Clock
указывает, что в качестве источника времени используются локальные часы. При этом в логе Event Viewe на PDC будет регистрироваться событие Event ID 12 от Time-Service:

Time Provider NtpClient: This machine is configured to use the domain hierarchy to determine its time source, but it is the AD PDC emulator for the domain at the root of the forest, so there is no machine above it in the domain hierarchy to use as a time source. It is recommended that you either configure a reliable time service in the root domain, or manually configure the AD PDC to synchronize with an external time source. Otherwise, this machine will function as the authoritative time source in the domain hierarchy. If an external time source is not configured or used for this computer, you may choose to disable the NtpClient.

Картинка с сайта: winitpro.ru

Если DC запущен на виртуальной машине, в настройках которой включена синхронизация времени с хостом (гипервизором), эта команда вернет:

VM IC Time Synchronization Provider

Поэтому для всех DC нужно отключить синхронизацию времени в настройках ВМ, или запретить DC получать время с хоста, создав параметр реестра:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\w32time\TimeProviders\VMICTimeProvider /v Enabled /t REG_DWORD /d 0 /f

Перенастроим настройки Windows Time на PDC так, чтобы он использовал в качестве источника времени внешний NTP сервер. В качестве источника времени можно использовать ближайшие к вам сервера NTP из пула проекта https://www.ntppool.org

Для России это будут сервера 0.ru.pool.ntp.org, 1.ru.pool.ntp.org и 2.ru.pool.ntp.org

Проверьте с PDC эмулятора, что доступ к этим NTP серверам доступен (и порт 123/UDP не блокируется файерволами):

w32tm /stripchart /computer:0.ru.pool.ntp.org

Картинка с сайта: winitpro.ru

Если вы получили ответ от NTP сервера, можно задать эти внешние сервера в качестве источников времени для Primary DC. Выполните команды:

net stop w32time
w32tm /config /syncfromflags:manual /manualpeerlist:"0.ru.pool.ntp.org,0x8 1.ru.pool.ntp.org,0x8 3.ru.pool.ntp.org,0x8 4.ru.pool.ntp.org,0x8"


w32tm /config /reliable:yes
net start w32time
w32tm /config /update

Выполните синхронизацию времени с NTP:

w32tm /resync

Проверьте, что теперь источником времени на PDC является внешние NTP сервера:

w32tm /query /configuration

Картинка с сайта: winitpro.ru

Настройка групповой политики для синхронизации времени PDC с NTP

Так как роль эмулятора PDC может быть передана на другой контроллер домена, можно настроить групповую политику, которая будет автоматически применять настройки синхронизации с внешним NTP источников времени на текущем DC с ролью PDC.

Для этого в консоли управления Group Policy Management Console (
GPMC.msc
), создайте новый WMI фильтр групповых политик. Перейдите разделе WMI Filters, создайте фильтр с именем PDC Emulator и WMI запросом:

Select * from Win32_ComputerSystem where DomainRole = 5

Картинка с сайта: winitpro.ru

Создайте новую GPO, откройте ее и перейдите в раздел Computer Configuration-> Administrative Templates -> System -> Windows Time Service -> Time Providers

Нас интересуют три политики:

• Configure Windows NTP Client: Enabled (настройки политики описаны ниже)
• Enable Windows NTP Client: Enabled
• Enable Windows NTP Server: Enabled

В настройках политики Configure Windows NTP Client укажите следующие параметры:

• NtpServer: 0.ru.pool.ntp.org,0x8 1.ru.pool.ntp.org,0x8 2.ru.pool.ntp.org,0x8 3.ru.pool.ntp.org,0x8
• Type: NTP
• CrossSiteSyncFlags: 2
• ResolvePeerBackoffMinutes: 15
• Resolve Peer BAckoffMaxTimes: 7
• SpecilalPoolInterval: 1024
• EventLogFlags: 0

Картинка с сайта: winitpro.ru

Примените созданный ранее фильтр PDC Emulator к GPO.

Осталось прилинковать новую GPO на контейнер Domain Controllers.

Настройка синхронизации времени на клиентах домена

В домене нужно настраивать время только на контроллере домена с ролью PDC. Он должен синхронизировать время с внешним NTP. Специально какие-то отдельные политики или настройки для синхронизации времени на оставшихся DC или компьютерах делать не нужно (это может быть даже вредно). Синхронизация времени должна отлично работать согласно иерархии AD (NT5DS).

На оставшихся (дополнительных) контроллерах домена и остальных клиентах синхронизация времени должна выполняться согласно иерархии домена. Проверим это:
w32tm /query /configuration

Если все настроено правильно, в качестве типа источника времени в разделе
TimeProviders
должен быть задан NT5DS.

Настройки службы времени хранятся в ветке реестра
HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters
.

Если это не так, можно сбросить настройки синхронизации времени на клиенте и принудительно указать, что нужно использовать схему синхронизации по-умолчанию (по доменной иерархии):

net stop w32time
w32tm.exe /unregister
w32tm.exe /register
net start w32time
w32tm /config /syncfromflags:DOMHIER /update
w32tm /resync

Проверьте что теперь в качестве источника времени на клиенте используется ближайший контроллер домена (LogonServer):

w32tm /query /source

Типовые ошибки синхронизации времени на клиентах Windows описаны в статье.

Настройка сервера NTP на ОС Windows 10

Автоматическая настройка

1. Скачайте файл NTP_server_setup.bat
2. Нажмите на файл правой кнопкой мыши и в меню выберите Запуск от имени администратора. Если Windows запросит разрешения на внесение изменений приложением, нажмите кнопку Да.
   
   

   Картинка с сайта: confluence.trassir.com

3. Подождите, пока скрипт настроит сервер NTP. Последняя команда скрипта выводит текущую конфигурацию службы времени. Если скрипт успешно настроил сервер NTP, то в разделе NtpServer опция Enabled будет выставлена в 1. Нажмите любую клавишу, чтобы завершить работу скрипта и закрыть окно командной строки.
   
   

   Картинка с сайта: confluence.trassir.com

Настройка вручную

1. Зайдите в редактор реестра одним из способов:
   • Нажмите клавиши Win+R, в появившемся окне Выполнить наберите regedit и нажмите Enter.
     
     

     Картинка с сайта: confluence.trassir.com

   • В строке поиска Windows наберите regedit и выберите найденное приложение Редактор реестра.
     
     

     Картинка с сайта: confluence.trassir.com

     Если Windows запросит разрешения на внесение изменений приложением Редактор реестра, нажмите кнопку Да.

2. В Редакторе реестра перейдите по пути \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer
   Для этого можно воспользоваться деревом в левой части окна или скопировать и добавить строку пути в поле в верхней части окна.
   
   

   Картинка с сайта: confluence.trassir.com

3. Откройте окно изменения параметра Enabled двойным щелчком мыши по нему в правой части окна Редактора реестра. Измените значение параметра на 1 и нажмите кнопку ОК.
   
   

   Картинка с сайта: confluence.trassir.com

4. В Редакторе реестра перейдите по пути \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config
   
   

   Картинка с сайта: confluence.trassir.com

   



5. Измените значение параметра AnnounceFlags на 5.
   
   

   Картинка с сайта: confluence.trassir.com

6. Закройте Редактор реестра.
7. Чтобы изменения вступили в силу, необходимо перезапустить службу времени Windows. Зайдите в управление службами одним из способов:
   • Нажмите клавиши Win+R, в появившемся окне Выполнить наберите services.msc и нажмите Enter.
     
     

     Картинка с сайта: confluence.trassir.com

   • В строке поиска Windows наберите службы и выберите найденное приложение Службы.
     
     

     Картинка с сайта: confluence.trassir.com

8. В списке служб найдите Службу времени Windows.
   
   

   Картинка с сайта: confluence.trassir.com

9. Дважды щёлкните на службу, чтобы зайти в окно её настройки.
   Если служба в состоянии Остановлена, то нажмите кнопку Запустить и дождитесь запуска службы.
   Если служба в состоянии Выполняется, сначала нажмите кнопку Остановить, дождитесь остановки службы, нажмите кнопку Запустить и дождитесь запуска службы.
   Установите Тип запуска в Автоматически и нажмите кнопку ОК, чтобы сохранить настройку.
   
   

   Картинка с сайта: confluence.trassir.com

10. Закройте окно Служб Windows.
11. Для проверки, что сервер NTP запустился, можно использовать команду w32time командной строки Windows.
    Запустите командную строку Windows одним из способов:
    • Нажмите клавиши Win+R, в появившемся окне Выполнить наберите cmd и нажмите Enter.
      
      

      Картинка с сайта: confluence.trassir.com

    • В строке поиска Windows наберите cmd и выберите найденное приложение Командная строка.
      
      

      Картинка с сайта: confluence.trassir.com

12. В Командной строке наберите или скопируйте сочетанием клавиш Shift+Insert строку w32tm /query /configuration и нажмите клавишу Enter.
    
    

    Картинка с сайта: confluence.trassir.com

13. Команда выведет текущую конфигурацию службы времени. Если сервер NTP запущен, то в разделе NtpServer опция Enabled будет выставлена в 1. Закройте окно Командной строки.
    
    

    Картинка с сайта: confluence.trassir.com

14. Для работы сервера NTP нужно разрешить в Брандмауэре Windows UDP траффик по порту 123. Откройте Монитор брандмауэра Защитника Windows в режиме повышенной безопасности одним из способов:
    • Нажмите клавиши Win+R, в появившемся окне Выполнить наберите wf.msc и нажмите Enter.
      
      

      Картинка с сайта: confluence.trassir.com

    • В строке поиска Windows наберите  и выберите найденное приложение.
      
      

      Картинка с сайта: confluence.trassir.com

15. В окне Монитора брандмауэра… переключитесь на Правила для входящих подключений и нажмите на Создать правило…
    
    

    Картинка с сайта: confluence.trassir.com

16. Выберите тип правила Для порта и нажмите кнопку Далее.
    
    

    Картинка с сайта: confluence.trassir.com

17. Выберите Протокол UDP, впишите номер порта 123 и нажмите кнопку Далее.
    
    

    Картинка с сайта: confluence.trassir.com

18. Выберите Разрешить подключение и нажмите кнопку Далее.
    
    

    Картинка с сайта: confluence.trassir.com

19. Установите галочки для всех профилей и нажмите кнопку Далее.
    
    

    Картинка с сайта: confluence.trassir.com

20. Введите имя правила, например, udp in 123 и нажмите кнопку Готово.
    
    

    Картинка с сайта: confluence.trassir.com

21. Переключитесь на Правила для исходящего подключения и нажмите Создать правило. Создайте правило с такими же настройками (тип правила, протокол и порты и т.д.), как и в предыдущих пунктах.
    
    

    Картинка с сайта: confluence.trassir.com

22. Закройте окно Монитора брандмауэра…

Настройка синхронизации времени и часового пояса на сервере RLP

1. Скачайте и разархивируйте ntp_local_install.zip
2. Скопируйте получившуюся папку ntp_local_install в папку home на сервере RLP.
3. Зайдите на сервер локально или удалённо.
4. Остановите службу TRASSIR командой:
   systemctl stop t1daemon
5. Установите rpm из скопированной папки командой:
   yum install -y /home/ntp_local_install/*.rpm
6. Зайдите в редактирование файла настроек планировщика задач командой:
   crontab -e
7. Нажмите клавишу Insert для перехода в режим редактирования.
   Добавьте строку */5 * * * * sudo ntpdate IP-адрес компьютера на Windows с настроенным NTP-сервером
   Пример: */5 * * * * sudo ntpdate 192.168.1.1
8. Нажмите клавишу Esc, чтобы выйти из режима редактирования. Введите :wq! и нажмите клавишу Enter, чтобы сохранить изменения и выйти из редактора.
9. Проверьте текущий часовой пояс на сервере RLP командой
   timedatectl status
   Часовой пояс и город указаны в разделе Time zone:
   
   

   Картинка с сайта: confluence.trassir.com

10. Если часовой пояс на сервере не совпадает с часовым поясом, где физически размещён сервер, то его можно поменять:
    1. Выведите список городов, поддерживаемых службой времени и выберите ближайший:
       Для списка городов Европы введите команду: timedatectl list-timezones | grep Europe
       Для списка городов Азии введите команду: timedatectl list-timezones | grep Asia

    2. Установите нужный часовой пояс командой: timedatectl set-timezone выбранный город
       Пример: timedatectl set-timezone Asia/Vladivostok


       Город нужно указать в том же виде, в котором он выводится командой timedatectl list-timezones, включая регистр букв. Если указать город неправильно, часовой пояс не изменится.

11. Проверьте текущее время на сервере RLP командой:
    date

    Время должно совпадать со временем на компьютере с настроенным NTP-сервером. Если время не совпадает, то подождите пять минут (настроенный период синхронизации) и введите команду ещё раз.

Запустите TRASSIR командой:
systemctl start t1daemon

удобный скрипт для работы со временем на серверах NTP доступен по ссылке:

https://ncloud.dssl.ru/s/HpQrdWMBLet7Wps

Материал из support.qbpro.ru

Для правильного функционирования доменной среды Windows Server 2008 R2/2012 R2, является корректная работа службы времени Windows (W32Time).
Схема работы синхронизации времени в доменной среде Active Directory:

Контроллер корневого домена в лесу AD, которому принадлежит FSMО-роль PDC-эмулятора, синхронизируется с внешними источниками точного времени. Он же является источником времени для всех остальных контроллеров этого домена.
Контроллеры дочерних доменов в AD, синхронизируют время с вышестоящих контроллеров домена AD.
Рядовые члены домена (сервера и рабочие станции) синхронизируют свое время с ближайшим к ним доступным контроллером домена, соблюдая топологию AD.

Служба времени в Windows (W32Time) не имеет графического интерфейса и настраивается из командной строки (утилита w32tm), с помощью реестра

(HKLM\System\CurrentControlSet\Services\W32Time\Parameters) и посредством Групповой политики (Group Policy Managment)

Для определения какому контроллеру домена принадлежит FSMО-роль PDC-эмулятора, в командной строке, выполним команду: netdom query FSMO

Включение NTP-сервера
NTP-сервер по-умолчанию включен на всех контроллерах домена, но его можно включить и на рядовых серверах:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer]  — «Enabled»=1

Конфигурация NTP-сервера
Задаем тип синхронизации внутренних часов, на использование внешнего источника. (Командная строка/Реестр):

w32tm /config /syncfromflags:manual
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters] — «Type»=NTP

Допускаются следующие значения:

NoSync — NTP-сервер не синхронизируется с каким либо внешним источником времени. Используются системные часы, встроенные в микросхему CMOS самого сервера.
NTP — NTP-сервер синхронизируется с внешними серверами времени, которые указаны в параметре реестра NtpServer.
NT5DS — NTP-сервер производит синхронизацию согласно доменной иерархии.
AllSync — NTP-сервер использует для синхронизации все доступные источники.

Задание списка внешних источников для синхронизации, с которыми будет синхронизировать время данный сервер. По-умолчанию в этом параметре прописан NTP-сервер Microsoft (time.windows.com, 0×1). (Командная строка/Реестр):

w32tm /config /manualpeerlist:»0.ru.pool.ntp.org,0x1 1.ru.pool.ntp.org,0x1 2.ru.pool.ntp.org,0x1″
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters] — «NtpServer»=0.ru.pool.ntp.org,0x1 1.ru.pool.ntp.org,0x1 
2.ru.pool.ntp.org,0x1

Допускаются следующие значения:

0×1 – SpecialInterval, использование временного интервала опроса.
0×2 – режим UseAsFallbackOnly.
0×4 – SymmetricActive, симметричный активный режим.
0×8 – Client, отправка запроса в клиентском режиме.

Задание интервала синхронизации с внешним источником (для источников помеченных флагом 0×1). По-умолчанию время опроса задано — 3600 сек. (1 час). (Командная строка/Реестр):

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpClient] — «SpecialPollInterval»=3600

Объявление NTP-сервера в качестве надежного. (Командная строка/Реестр):

w32tm /config /reliable:yes
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config] — «AnnounceFlags»=0000000a

После настройки необходимо обновить конфигурацию сервиса. Выполняем команду:

w32tm /config /update

Принудительная синхронизация времени от источника:

w32tm /resync /rediscover

Отобразить текущую конфигурацию службы времени:

w32tm /query /configuration

Получения информации о текущем сервере времени:

w32tm /query /source

Отображение текущих источников синхронизации и их статуса:

w32tm /query /peers

Отображение состояния синхронизации контроллеров домена с компьютерами в домене:

w32tm /monitor /computers:192.168.1.2

Отобразить разницу во времени между текущим и удаленным компьютером:

w32tm /stripchart /computer:192.168.1.2 /samples:5 /dataonly

Удалить службу времени с компьютера:

w32tm /unregister

Регистрация службы времени на компьютере. Создается заново вся ветка параметров в реестре:

w32tm /register

Остановка службы времени:

net stop w32time

Запуск службы времени:

net start w32time

Конфигурация NTP-сервера/клиента групповой политикой
Для централизованной настройки службы времени Windows, на серверах и рабочих станциях в доменной среде Active Directory, воспользуемся групповой политикой. На примере, выполним настройку для рабочих станций.

Переходим в ветку: Конфигурация компьютера (Computer Configuration) — Политики (Policies) — Административные шаблоны (Administrative Templates) — Система (System) — Служба времени Windows (Windows Time Service) — Поставщики времени (Time Providers).

Открываем параметр: Настроить NTP-клиент Windows (Configure Windows NTP Client)

Картинка с сайта: support.qbpro.ru

NtpServer — 192.168.1.2 (Адрес контроллера домена с ролью PDC)
Type — NT5DS
CrossSiteSyncFlags — 2
ResolvePeerBackoffMinutes —15
Resolve Peer BackoffMaxTimes — 7
SpecilalPoolInterval — 3600
EventLogFlags — 0

• источник