Как настроить источник времени NTP на контроллере домена

Как работает синхронизация времени в Active Directory

В доменной среде не требуется настраивать каждый сервер и рабочую станцию на публичные NTP-серверы. Windows использует собственную иерархию синхронизации времени.

В упрощённом виде она выглядит следующим образом:

Внешние NTP-серверы
        │
        ▼
PDC Emulator корневого домена леса
        │
        ▼
Иерархия Active Directory
        │
        ├── контроллеры домена
        ├── серверы
        └── рабочие станции

Поэтому основная задача — правильно настроить внешний источник времени для PDC Emulator корневого домена леса. Остальные доменные компьютеры должны синхронизироваться в соответствии с иерархией Active Directory.

Шаг 1. Определяем контроллер домена с ролью PDC Emulator

Первым делом необходимо определить, какой контроллер домена выполняет роль PDC Emulator.

Запустите CMD или PowerShell от имени администратора и выполните:

netdom query fsmo

Команда покажет, на каких контроллерах домена размещены роли FSMO (Flexible Single Master Operations).

Нас интересует строка PDC — в ней будет указано имя контроллера с ролью PDC Emulator.

Шаг 2. Проверяем текущий источник времени

Перед изменением конфигурации посмотрим, откуда сервер получает время сейчас.

Все дальнейшие команды выполняйте в CMD или PowerShell от имени администратора.

Проверьте текущий источник:

w32tm /query /source

Команда покажет источник, с которым сервер синхронизируется в данный момент.

Если отображается:

Local CMOS Clock

сервер использует локальные часы и в данный момент не получает время от настроенного внешнего NTP-источника.

Теперь посмотрим список настроенных узлов времени:

w32tm /query /peers

Для получения подробной информации о состоянии синхронизации выполните:

w32tm /query /status

В выводе можно увидеть текущий источник, Stratum, время последней успешной синхронизации и другие параметры W32Time.

Наконец, проверим полную конфигурацию службы:

w32tm /query /configuration

Эта команда особенно полезна при диагностике, поскольку показывает тип синхронизации, параметры NTP-клиента и другие настройки Windows Time.

Шаг 3. Проверяем синхронизацию времени с гипервизором

Если PDC Emulator работает в виртуальной машине, необходимо учитывать механизм синхронизации времени со стороны гипервизора.

Hyper-V, VMware и другие платформы виртуализации могут корректировать системное время гостевой операционной системы относительно хоста.

В результате на виртуальном контроллере домена потенциально могут одновременно участвовать два механизма:

• Windows Time (W32Time) и доменная/NTP-синхронизация;
• механизм коррекции времени средствами гипервизора.

Для PDC Emulator важно исключить нежелательную конкуренцию источников времени и понимать, какой механизм фактически корректирует часы виртуальной машины.

Отключаем VMICTimeProvider в Hyper-V

Если PDC Emulator работает в Hyper-V и вы хотите исключить получение времени W32Time через Hyper-V Time Synchronization Provider, откройте PowerShell от имени администратора и выполните:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\VMICTimeProvider" -Name "Enabled" -Value 0

После изменения параметра перезапустите службу Windows Time:

net stop w32time
net start w32time

Проверьте конфигурацию:

w32tm /query /configuration

В разделе VMICTimeProvider должно отображаться:

Enabled: 0 (Local)

Шаг 4. Настраиваем внешние NTP-серверы

Теперь настроим PDC Emulator на получение времени от внешних NTP-серверов.

Лучше использовать несколько разрешённых в вашей инфраструктуре источников времени. Это позволит сохранить синхронизацию при временной недоступности одного из серверов.

В качестве примера используем серверы NTP Pool:

w32tm /config /update /manualpeerlist:"0.pool.ntp.org,0x8 1.pool.ntp.org,0x8 2.pool.ntp.org,0x8 3.pool.ntp.org,0x8" /syncfromflags:manual /reliable:yes

Разберём основные параметры:

• /manualpeerlist — задаёт список NTP-серверов;
• /syncfromflags:manual — указывает W32Time использовать вручную заданный список источников;
• /reliable:yes — помечает контроллер домена как надёжный источник времени для доменной инфраструктуры;
• /update — применяет изменённую конфигурацию службы Windows Time.

После каждого NTP-сервера указан флаг:

0x8

Он задаёт клиентский режим взаимодействия с указанным NTP-узлом.

Шаг 5. Перезапускаем Windows Time

После изменения конфигурации перезапустим службу Windows Time (W32Time).

Остановите службу:

net stop w32time

Запустите её снова:

net start w32time

После перезапуска служба перечитает изменённую конфигурацию.

Шаг 6. Принудительно запускаем синхронизацию

Теперь заставим Windows Time заново определить доступные источники времени и выполнить синхронизацию:

w32tm /resync /rediscover

Параметр /rediscover заставляет службу повторно определить доступные источники времени с учётом новой конфигурации.

Если команда выполняется успешно, Windows сообщит, что команда повторной синхронизации отправлена локальному компьютеру.

Шаг 7. Проверяем новый источник времени

Теперь убедимся, что PDC Emulator действительно начал получать время от настроенного внешнего источника.

Выполните:

w32tm /query /source

В результате должен отображаться один из настроенных NTP-серверов.

Если по-прежнему отображается:

Local CMOS Clock

проверьте конфигурацию W32Time, доступность NTP-серверов, DNS-разрешение их имён и сетевой доступ по UDP 123.

Посмотрите состояние настроенных узлов:

w32tm /query /peers

Затем проверьте состояние синхронизации:

w32tm /query /status

Особое внимание обратите на:

• Source — текущий источник времени;
• Stratum — уровень источника в NTP-иерархии;
• Last Successful Sync Time — время последней успешной синхронизации;
• Poll Interval — текущий интервал опроса.

Также ещё раз проверьте полную конфигурацию:

w32tm /query /configuration

Если в качестве источника отображается настроенный внешний NTP-сервер, а последняя синхронизация завершилась успешно, основная настройка выполнена.

Шаг 8. Проверяем расхождение времени

После настройки полезно проверить, насколько системное время PDC Emulator отличается от внешнего источника.

Для этого используйте:

w32tm /stripchart /computer:pool.ntp.org

Команда начнёт периодически сравнивать локальное время сервера со временем указанного источника.

Пример вывода:

21:15:01, +00.0123456s
21:15:03, +00.0119821s
21:15:05, +00.0121043s

Значение со знаком + или - показывает смещение локальных часов относительно выбранного источника.

Для остановки непрерывной проверки используйте Ctrl+C.

Если нужны только пять измерений:

w32tm /stripchart /computer:pool.ntp.org /samples:5 /dataonly

Здесь:

• /computer — сервер, с которым сравнивается время;
• /samples:5 — количество измерений;
• /dataonly — вывод результатов без дополнительной информации.

Если смещение небольшое и остаётся стабильным, это хороший признак. Если расхождение постоянно увеличивается или становится значительным, необходимо проверить W32Time, доступность NTP-источника и наличие других механизмов коррекции времени.

Шаг 9. Проверяем остальные контроллеры домена

После настройки внешнего источника на PDC Emulator дайте доменной инфраструктуре время на нормальную синхронизацию.

В штатной конфигурации Active Directory вручную прописывать внешние NTP-серверы на каждом контроллере домена и рабочей станции не требуется.

При необходимости на другом контроллере домена можно запустить повторную синхронизацию:

w32tm /resync

Затем проверьте текущий источник:

w32tm /query /source

И состояние:

w32tm /query /status

Так можно убедиться, что остальные контроллеры получают время в соответствии с иерархией Active Directory, а не используют собственные аппаратные часы или случайно настроенные публичные NTP-серверы.

Как настроить NTP через групповые политики

В этой статье мы настроили внешний источник времени непосредственно на PDC Emulator с помощью w32tm. Для небольшой инфраструктуры такой способ удобен и позволяет быстро настроить и проверить Windows Time.

В крупной или распределённой инфраструктуре параметры W32Time удобнее централизованно контролировать через Group Policy.

Например, отдельной GPO можно настроить внешние NTP-источники для PDC Emulator, а для остальных контроллеров домена, серверов и рабочих станций закрепить использование доменной иерархии NT5DS.

Подробную настройку смотрите в статье Как настроить синхронизацию времени в Active Directory через групповые политики (GPO).

FAQ

На каком контроллере домена нужно настраивать внешний NTP?

В стандартной иерархии Active Directory внешний источник времени настраивают на PDC Emulator корневого домена леса. Остальные доменные компьютеры синхронизируются через доменную иерархию.

Как узнать, какой сервер является PDC Emulator?

Выполните команду netdom query fsmo. В строке PDC будет указан контроллер домена, которому назначена соответствующая FSMO-роль.

Как узнать текущий источник времени Windows Server?

Используйте команду w32tm /query /source. Более подробную информацию можно получить командами w32tm /query /status и w32tm /query /configuration.

Что означает Local CMOS Clock?

Такой источник означает, что Windows в данный момент использует локальные аппаратные часы системы, а не настроенный внешний NTP-сервер.

Какой порт используется для NTP?

Стандартный NTP использует UDP-порт 123. Между PDC Emulator и выбранными NTP-серверами должен быть разрешён соответствующий сетевой обмен.

Нужно ли настраивать внешний NTP на всех контроллерах домена?

Нет. Остальные контроллеры домена должны использовать штатную иерархию времени Active Directory. Внешний источник настраивается на вершине этой иерархии — PDC Emulator корневого домена леса.

Как проверить расхождение времени с NTP-сервером?

Используйте w32tm /stripchart /computer:ИМЯ_СЕРВЕРА. Например, пять измерений можно получить командой w32tm /stripchart /computer:pool.ntp.org /samples:5 /dataonly.

Итог

Мы настроили внешний NTP-источник времени для PDC Emulator, проверили конфигурацию Windows Time и убедились, что сервер использует правильный источник.

Главный принцип здесь простой: PDC Emulator корневого домена леса получает точное время от доверенных внешних NTP-серверов, а остальные контроллеры домена, серверы и рабочие станции используют штатную иерархию Active Directory.

После настройки обязательно проверьте текущий источник командой w32tm /query /source, состояние синхронизации через w32tm /query /status и фактическое расхождение времени с помощью w32tm /stripchart.

Если серверов много, переходите к централизованной настройке: Как настроить синхронизацию времени в Active Directory через групповые политики (GPO).