Usklađivanje vremena s kontrolerom domene. Konfiguriranje sinkronizacije vremena

Sinkronizacija vremena sustava u domeni Active Directory važna je za ispravno funkcioniranje mnogih funkcija na korisničkim radnim stanicama u sustavu Windows. Zastojni sat sustava može utjecati na sposobnost korisnika da se prijavi, ometa promet pošte u Exchangeu i stvara niz drugih problema koji je teško otkriti.

U složenim slučajevima, standardne metode sinkronizacije vremena u mreži nisu 100% pouzdane ili čak predvidljive. Na primjer, ako se sat fizičkog Hyper-V računala ne sinkronizira, to obično utječe na sve virtualne strojeve, katkad katastrofalno. Srećom, ne treba mnogo truda kako bi ispravili pogreške u vremenu.

Odabir računala kao izvora vremena

Prva stvar koju trebate učiniti prije postavljanja sinkronizacije vremena je odabir računala koje će postati glavni izvor vremena sustava u vašoj domeni.

Obično je ovo računalo odabrano kao izvor, koji u Active Directory ima ulogu emulatora Primarnog kontrolera domene (PDC). Prema službenoj dokumentaciji tvrtke Microsoft, to bi trebao biti glavni izvor iz kojeg mreža prima vremenske podatke. Međutim, u praksi to nije uvijek moguće.

Automobil se odlučite redovito će se konzultirati online izvora, tako da ako ste na strogo čuvanom objektu s visokim zahtjevima na području informacijske sigurnosti, trebali razmišljati o delegiranju tu ulogu na drugo računalo.

Na primjer, možete stvoriti posvećeni poslužitelj koji će dobiti informacije o vremenu s Interneta i poslati ga emulatoru PDC-a. U tom ćete slučaju imati više računala koja služe kao izvor vremena za strojeve koji su uključeni u mrežu.

Konfiguriranje vatrozida

Promet kada sinkronizira vrijeme s kontrolerom domene stigne na UDP port 123. Na računalu koje služi kao izvor vremena, taj se priključak mora otvoriti za dolazne veze. Na svim strojevima na mreži, priključak 123 mora biti otvoren za odlazne veze, barem s kontrolerom domene.

Konfiguriranje kontrolera domene

Da biste sinkronizirali vrijeme s kontrolerom domene na poslužitelju koji izvodi ulogu emulatora PDC-a pomoću naredbenog retka, morate izvršiti sljedeće radnje:

1. Provjerite je li upravljač domene na kojem radite PDC emulator pokretanjem naredbe

upita netdom fsmo

2. Na poslužitelju emulatora PDC pokrenite sljedeće naredbe sinkronizacije vremena u navedenom redoslijedu:

neto zaustavljanje w32time

w32tm / configure / syncfromflags: priručnik /manualpeerlist:"0.us.pool.ntp.org,0x1 1.us.pool.ntp.org, 0x1 2.us.pool.ntp.org, 0x1 3.us.pool. ntp.org, 0x1 "

Zadani vanjski vremenski izvor za Windows Server poslužitelj je time.windows.com. Najbolja opcija je sinkronizacija s više vremenskih poslužitelja. U gornjoj naredbi koristimo vremenske poslužitelje koje podržava NTP Pool Project.

neto start w32time

w32tm / configure / trust: yes / update

w32tm / resync

3. Ako u Active Directoryu postoji više kontrolera domena, pokrenite sljedeću naredbu u naredbenom retku:

w32tm / config / syncfromflags: domhier / ažuriranje

4. Provjerite jesu li postavke vremena na poslužitelju emulatora PDC točne:

w32tm / query / status:

5. Provjerite jesu li svi drugi kontroleri domena ispravno postavljeni:

w32tm / query / status:

c Sinkronizacija vremenskoj domeni "class =" ako UUID-2236465 "src =" https://nsokote.ru/misc/i/gallery/70251/2236465.jpg „/>

Konfiguriranje DHCP-a

Da biste sinkronizirali vrijeme s kontrolerom domena na uređajima koji su odgovorni za DHCP, postavite parametre DHCP poslužitelja na 004 i 042.

Za unose DHCP možete koristiti samo IP adrese. Možete unijeti naziv poslužitelja i pritisnite riješiti, da biste dobili IP adresu poslužitelja.

Ako koristite DHCP pomoću Cisco uređaja, unesite sljedeće naredbe u DHCP postavkama:

opcija 4 ip [IP adresa]

opcija 42 ip [IP adresa]

IP adresu treba zamijeniti stvarnim IP poslužiteljem koji služi kao izvor vremena.

Sada će svi DHCP uređaji primiti vremenske postavke s poslužitelja na sljedećem ažuriranju.

Konfiguriranje statičkih uređaja i računala pod drugim OS-ovima

Većina NAS i SAN uređaja imaju mogućnost unošenja podataka o davatelju vremena postavljanja poslužitelja.

Da biste konfigurirali sinkronizaciju vremena s kontrolerom domene na Cisco IOS uređajima, u naredbeni redak upišite:

ntp server 192.168.25.5

IP adresu treba zamijeniti stvarnim IP poslužiteljem koji služi kao izvor vremena.

Za konfiguriranje sinkronizacije vremena na računalu s operativnim sustavom koji nije Windows, pogledajte dokumentaciju operacijskog sustava. Međutim, za ostale operacijske sustave, ispravne postavke vremena nisu važne kao i za Windows, pa čak možete isključiti sinkronizaciju.

Konfiguriranje virtualnih strojeva za goste

Svi moderni hipervisori mogu sinkronizirati vrijeme sustava za gost strojeve s ugrađenim alatima. Ako je omogućena sinkronizacija vremena u domeni, gostni strojevi će dobiti vrijeme od fizičkog računala na kojemu se prikazuju.

U većini slučajeva morate onemogućiti ovu značajku za računala sa stolnim računalima sustava Windows Server koji služe kao virtualizirani kontroleri domena. Za sve ostale goste mora biti uključen.

Da biste konfigurirali sinkronizaciju vremena s kontrolerom domene u hipervisoru Hyper-V, otvorite dijaloški okvir Postavke i kliknite karticu Integracijske usluge. Poništite ili označite okvir Sinkronizacija vremena. Za ostale hipervisore, obratite se dokumentaciji proizvođača.

Konfiguriranje pravila grupe

Da biste stvarno uvjerili računala u sustavu Windows da koriste vremenske postavke primljene od kontrolera domene, trebate konfigurirati grupna pravila.

Da biste instalirali novu pravila grupe, otvorite alat za upravljanje pravilima na kontroleru domene ili na računalu s instaliranim administrativnim alatima udaljeni poslužitelj. Proširite svoju domenu. Desnom tipkom miša kliknite stavku Objekti grupne politike i pritisnite Novi. Dajte novu pravila naziv i kliknite U redu.

Desnom tipkom miša kliknite novo pravilo i kliknite Uredi. Ovo će pokrenuti prozor za uređivanje pravila grupe.

Idi na Konfiguracija računala> Pravila> Administrativni predlošci> Sustav -> Vremenska usluga sustava Windows> Davatelji vremena. U desnom oknu dvaput kliknite Omogući Windows NTP klijent. Postavite opciju Omogućeno i pritisnite U redu.

Zatim dvaput kliknite Konfigurirajte Windows NTP Client. Konfigurirajte postavke kao na donjoj slici dodavši 0x1 na terenu NtpServer, da ga dobijete yourdc.yourdomain.tld, 0x1.

Nakon što spremite pravila grupe, zatvorite uređivač. Vratit ćete se na glavnu upravljačku konzolu grupe.

Ako vaša domena ima velik broj pravila, desnom tipkom miša kliknite novo pravilo i idite na GPO status> Postavke konfiguracije korisnika onemogućeno. To će ubrzati obradu svake politike.

Sada desnom tipkom miša kliknite objekt Active Directory u koji želite primijeniti ovo pravilo i kliknite Povežite postojeći GPO. Istaknite nova pravila i kliknite U redu. Ako je potrebno, ponovite korake za druge objekte.

Ne zaboravite da ugniježđeni objekti nasljeđuju grupnu politiku od svog roditelja ako nasljedstvo nije zaključano ili da dijete objekt nema vlastitu pridruženu grupnu politiku s postavkama u sukobu.

Konfiguriranje drugih kontrolera domene

Ako slijedite gore navedene korake kako biste osigurali sinkronizaciju vremena u domeni, gotovo je zajamčeno da će dobiti točan vremenski rok za sva računala na mreži. Stoga, ostali kontroleri domena (ako imate nekoliko) možete ga ostaviti sami.

Međutim, ako želite biti sigurni da upotrebljavaju točno vrijeme, možete urediti pravila lokalne grupe. Idite na izbornik početak >trčanje i unesite gpedit.msc. tisak U redu.

Zatim upotrijebite iste postavke kao u prethodnom odjeljku. Ako upravljač domene na koji želite raditi upravlja Windows Server Core, to možete učiniti na daljinu, pod uvjetom da je vatrozid omogućio. Samo trči mmc.exe na računalu s grafičkim sučeljem, otvorite stavku izbornika Datoteka> Dodaj / ukloni ugriz, dvostruki klik Uređivač objekata grupnih pravila i idite na računalo na koje želite urediti pravila grupe.

Provjera rezultata

Na bilo kojem Windows računalu na mreži pokrenite naredbeni redak s administratorskim ovlastima i upišite:

gpupdate

w32tm / upit / izvor

Naredba na kontroleru domene će vratiti adresu jednog od NTP poslužitelja koji su navedeni kao vanjski vremenski izvori s Interneta.

Na korisničkoj radnoj stanici, naredba vraća adresu kontrolera domene.

Na virtualnom stroju Hyper-V s omogućenom vremenskom sinkronizacijom trebali biste vidjeti poruku: Davatelj usluga sinkronizacije vremena VM IC.

Ako naredba signalizira da je vrijeme određeno lokalnim CMOS satom, sinkronizacija vremena u domeni ne funkcionira.