如何同步AD域客户端与服务器时间？-凌峰创科服务平台

核心概念：为什么时间同步如此重要？

在Active Directory中，时间同步是基石中的基石，它不仅仅是为了让所有电脑的时钟显示正确时间，更重要的是出于安全和稳定的考虑。

（图片来源网络，侵删）

Kerberos认证协议
- AD默认使用Kerberos v5协议进行身份验证，这个协议的核心机制之一就是时间戳，用于防止“重放攻击”（Replay Attack），即攻击者截获一个合法的认证请求包,稍后重新发送以冒充合法用户。
- Kerberos票据（Ticket）都有一个有效时间范围，并且服务器会验证请求包中的时间戳是否在可接受的误差范围内（默认为5分钟）。
- 如果客户端和域控制器的时间不同步，客户端发送的请求包时间戳可能已经超出了DC的接受范围，导致认证失败，用户无法登录、访问网络资源。
组策略和脚本执行

组策略对象的链接和应用、登录/注销脚本的执行时间等,都可能依赖于时间戳来确保顺序和正确性。
文件和事件日志
（图片来源网络，侵删）
- 在文件服务器上，文件的创建、修改、访问时间戳对于审计和故障排查至关重要。
- 事件查看器中的日志事件带有时间戳，如果时间不一致，将无法将不同服务器上的相关事件关联起来,给排查问题带来巨大困难。
证书服务

公钥基础设施中的证书都有有效期，如果时间不同步，可能导致证书被提前认为已过期,或者信任了本已过期的证书。

AD域中的时间同步并非所有客户端都去连接同一个时间源，而是采用一个层级结构，这被称为Windows Time Service (W32Time) 的同步模型。

整个时间同步的最终源头是外部权威时间源,这通常是高精度的公共时间服务器，

（图片来源网络，侵删）

在AD域内部,时间同步的层级由域控制器的角色决定：

内部时钟源 - 这是域中唯一的权威时间源，它负责与外部时间源同步,并为域内所有其他计算机提供时间。
- 如何确定内部时钟源？
  1. PDC模拟器操作主机角色：如果域中存在一个Windows Server 2000或更高版本的域，那么PDC模拟器角色持有者就是内部时钟源,这是最常见的情况。
  2. Windows Server 2003之前的域：如果域的功能级别是Windows Server 2003之前,那么林根域的PDC模拟器是内部时钟源。
  3. 工作组环境：如果计算机加入了工作组，它自己就是内部时钟源,会尝试与外部源同步。
客户端计算机：所有非域控制器的计算机（包括客户端PC、服务器、工作站等）都应该从域内的权威时间源同步时间。

客户端计算机（非DC）的W32Time服务会自动执行以下操作：

Windows Time Service使用的是层级-对等混合模型，而不是简单的NTP客户端/服务器模型。

域控制器：
- PDC模拟器：作为客户端，它会主动配置为从外部权威时间源（或其父域的PDC模拟器）同步，它的配置通常是“NTP”或“NoSync”（如果它本身就是顶级源）。
- 其他域控制器：它们会自动将PDC模拟器作为时间源进行同步，它们的配置通常是“NT5DS”，表示从AD的目录服务（即PDC模拟器）获取时间源地址。
客户端成员：
- 它们的配置通常是“NT5DS”，表示从AD中查找并同步到域控制器（通常是PDC模拟器）。

这个模型的好处是：

这是最典型的症状,排查步骤如下：

检查时间差异：
- 在客户端和域控制器（特别是PDC模拟器）上，以管理员身份打开命令提示符，运行以下命令：
```
w32tm /query /status
```
- 查看源（Source）和偏移量（Skew），如果源不是预期的，或者偏移量很大（例如超过500毫秒）,则说明存在同步问题。
强制手动同步：
- 在客户端上，强制从PDC模拟器同步一次：
```
w32tm /resync /force
```
- 观察同步是否成功。
检查PDC模拟器的时间源：
- 在PDC模拟器上，检查它是否正确同步了外部源：
```
w32tm /query /status
```
- 如果PDC模拟器的时间源本身就有问题，那么整个域的时间都会错乱,需要修复PDC与外部源的同步。
检查防火墙规则：

W32Time使用UDP 123端口进行通信，请确保客户端与域控制器之间、PDC模拟器与外部时间源之间的防火墙（包括Windows防火墙和第三方防火墙）没有阻止UDP 123端口。
检查W32Time服务状态：

确保所有计算机上的“Windows Time”服务都已启动，并且启动类型为“自动”。

警告：在生产环境中修改时间源需要非常谨慎,错误的配置会导致整个域的时间混乱。

修改PDC模拟器的外部时间源：
- 在PDC模拟器上，可以手动指定外部NTP服务器：
```
w32tm /config /syncfromflags:manual /manualpeerlist:"time.windows.com,0x8"
```
- syncfromflags:manual：表示手动指定时间源。
- manualpeerlist：指定时间源列表，0x8表示使用特殊客户端模式（推荐用于与外部NTP服务器通信）。
- 修改后需要重启W32Time服务使配置生效：
```
net stop w32time && net start w32time
```
修改客户端的同步方式（不推荐）：
- 默认情况下，客户端从AD获取时间源，如果需要强制客户端从某个特定服务器同步（例如用于测试），可以：
```
w32tm /config /syncfromflags:manual /manualpeerlist:"<PDC_IP_or_Hostname>,0x8"
```
- 同样需要重启服务。

保持默认配置：对于绝大多数环境，保持Windows Time Service的默认配置即可,它已经为AD环境做了优化。
确保PDC模拟器时间准确：这是最关键的一点，确保你的PDC模拟器能够稳定、准确地与一个可靠的外部时间源同步。
监控时间偏移：使用系统中心操作管理器或第三方监控工具，定期监控域内所有计算机与PDC模拟器的时间偏移量,及时发现并解决问题。
不要使用第三方时间同步软件：除非有特殊需求，否则不要在域控制器上安装第三方NTP客户端（如NTP.org的NTP软件），这可能会与W32Time服务冲突,导致时间同步失败。
正确配置防火墙：确保UDP 123端口在域内所有计算机之间是开放的。

理解这个层级结构和W32Time的工作原理，是管理和维护一个稳定、安全的Active Directory环境的基础，当遇到时间相关的问题时，首先应该从PDC模拟器开始检查,并确保其时间源的准确性。