如何使我的域控制器与正确的外部时间源同步？

Question

我有一个用户联系我，说她的电脑时钟比她的手机时钟快8到9分钟。这让我很担心，因为手机时钟总是同步的。我看了看我电脑的时钟，它是一样的，大约比我的手机快了8分钟。八分钟的休息时间太长了。所以我看了看我的两个DC，用作AD PDC模拟器的那个只比我的手机快1分钟；这似乎更合理。但是工作站不能与之同步。所以我看了看我的另一个DC，它没有任何主要角色。它与工作站完全相同，大约快8分钟。

所以这里有几个大问题。首先，我的DC没有相同的时间。其次，我的工作站与更快的DC具有相同的时间(它们是否与其同步？)。我查看了DC的错误日志，并对Time-Service进行了过滤。PDC Emulator DC具有警告事件ID 144:时间服务已停止作为良好时间源播发。另一个DC具有警告事件ID 142:时间服务已停止作为时间源播发，因为本地时钟不同步。我还收到了其他事件ID警告。在主DC上:事件ID 12、36、144 (如上所述)、131。在辅助DC上:事件ID 131、24、142 (如上所述)、50、129。我将在底部给出更多关于这些的信息。

从我看到的情况来看，我的PDCe似乎没有指向外部来源。我应该使用“配置时间服务以使用外部时间源”下面的说明(http://support.microsoft.com/kb/816042)来设置它吗？文章(http://tigermatt.wordpress.com/2009/08/01/windows-time-for-active-directory/)中的人说要使用脚本将其自动化(w32tm /config /manualpeerlist：“uk.pool.ntp.org，0×8 europe.pool.ntp.org,0×8¿/syncfromflags:MANUAL /reliable:yes /update”)。但我不确定他们是不是在做同样的事情。即使他们这样做了，我也不确定我使用的是哪个地址。如果我看一下我的辅助DC，它有一个time.windows.com,0x9的NtpServer条目。在我执行了本文推荐的重置操作之前，PDCe也有它；现在它没有NtpServer条目。

那么哪种方法是正确的，我应该使用什么地址呢？如果我运行的是Server2008 R2，这有关系吗？

事件ID 12:时间提供程序NtpClient:此计算机配置为使用域层次结构来确定其时间源，但它是林根目录下域的AD PDC仿真器，因此域层次结构中没有位于其上的计算机可用作时间源。建议您在根域中配置可靠的时间服务，或手动配置AD PDC以与外部时间源同步。否则，此机器将作为域层次结构中的权威时间源。如果没有为此计算机配置或使用外部时间源，您可以选择禁用NtpClient。

事件ID 36:时间服务尚未同步系统时间已有86400秒，因为没有时间服务提供程序提供可用的时间戳。在能够与时间源同步之前，时间服务不会更新本地系统时间。如果将本地系统配置为充当客户端的时间服务器，它将停止作为客户端的时间源进行播发。时间服务将继续重试并将时间与其时间源同步。有关更多详细信息，请查看其他W32time事件的系统事件日志。运行'w32tm /resync‘强制执行即时时间同步。

事件ID 144:时间服务已停止作为好的时间源播发。

事件ID 131:由于'‘上的DNS解析错误，NtpClient无法设置域对等项作为时间源。NtpClient将在3473457分钟后重试，此后重试间隔将增加一倍。错误是:请求的名称有效，但找不到请求类型的数据。(0x80072AFC)。

事件ID 24:时间提供程序NtpClient:未收到来自域控制器DC-DNS.domain.org的有效响应。这是我们的主DC在尝试联系它8次之后。此域控制器将作为时间源被丢弃，并且NtpClient将尝试发现要从中进行同步的新域控制器。错误是:对等方无法访问。

事件ID 142:时间服务已停止作为时间源播发，因为本地时钟未同步。

事件ID 50:时间服务检测到900秒的时间差大于5000毫秒。时间差可能是由与低精度时间源的同步或由不理想的网络条件引起的。时间服务不再同步，并且无法向其他客户端提供时间或更新系统时钟。当从时间服务提供商接收到有效的时间戳时，时间服务将自我更正。

事件ID 129:由于发现错误，NtpClient无法设置要用作时间源的域对等项。NtpClient将在3145779分钟后重试，此后重试间隔将增加一倍。错误是:找不到该条目。(0x800706E1)

Answer 1

我在一个小客户机上遇到了一个问题，在这个客户机中，唯一的DC作为VM运行。时钟每天会慢几秒，在几周或几个月内，它可能会慢20分钟。

遵循这里的说明: ntp我使用w32tm /stripchart /computer:time.windows.com /samples:5 /dataonly来确定time.windows.com服务器的时钟差有多远(您可以使用任何您喜欢的http://technet.microsoft.com/en-us/library/cc794937(v=ws.10).aspx服务器)：

Tracking time.windows.com [64.4.10.33].
Collecting 5 samples.
The current time is 23/06/2013 8:12:34 AM (local time).
08:12:34, -53.2859637s
08:12:37, -53.4214102s
08:12:39, -53.3859342s
08:12:41, -53.2913859s
08:12:43, -53.2440682s

然后，我使用w32tm /config /manualpeerlist:time.windows.com /syncfromflags:manual /reliable:yes /update告诉服务器使用time.windows.com作为其外部时间源：

The command completed successfully.

然后我使用w32tm /resync强制它现在与time.windows.com重新同步：

Sending resync command to local computer...
The command completed successfully.

然后，我再次使用第一个命令来确认差异是否接近0秒：

Tracking time.windows.com [64.4.10.33].
Collecting 5 samples.
The current time is 23/06/2013 8:13:54 AM (local time).
08:13:54, -00.1657880s
08:13:56, +00.0059062s
08:13:59, -00.0088913s
08:14:01, +00.0030319s
08:14:03, +00.0063458s

请注意，该信息适用于只有一个DC的环境。如果您有多个DC，则需要在拥有PDC Emulator FSMO角色的DC上执行上述步骤。

希望这对某些人有帮助。

Answer 2

林根PDC模拟器(仅限！)可以在外部同步。http://technet.microsoft.com/en-us/library/cc794937(v=ws.10).aspx 所有其他客户端、服务器和DC都应使用NT5DS。POOL.NTP.ORG是一个很好的选择。

在所有其他DC上使用：

net stop w32Time
w32tm /unregister
w32tm /register 
net start w32time

将时间服务重置为使用http://technet.microsoft.com/en-us/library/cc738995(v=ws.10).aspx中所述的NT5DS。

如果客户端或其他服务器仍然存在问题，请对每个GPO使用相同的技术，例如，因为需要管理员权限。

您还需要非常厌倦虚拟机域控制器，因为它们可能会也可能不会保持精确的时间，这取决于主机的CPU利用率！就Kerberos而言，几分钟的差异是常见的，而且是致命的。

Answer 3

您需要弄清楚的一件事是:这些DC虚拟机是在Hyper-V中运行还是物理服务器？如果它们在Hyper-V中运行，则会有一个将VM主机时间传递给VM的设置。您所要做的就是关闭同步，然后使用NTP命令将do设置为如上所述的time.windows.com之类的w32tm服务器。

我不记得从我的头顶开始的设置，但我也有这个问题……5个DC都显示不同的时间。