ffly82
Goto Top

Keine Zeitsynchronisation auf vielen Clients

Im Unternehmen laufen ca 250 Notebooks (Lenovo T14, Windows 11, 23H2)
Etwa die Hälfte der Rechner laufen direkt am Standort, die andere Hälfte im Homeoffice.
Verwaltet werden diese Rechner via Intune


Da nicht jeder Rechner ständig Verbindung zum AD hat wurde via Intune der Zeitserver auf time.windows.com festgelegt. (Problem tritt auch bei jedem anderen getesteten Server auf [pool.ntp.org, ptbtime1.ptb.de)

Der Dienst läuft natürlich

Ein manuelles starten des Synchronisation endet im Fehler:
2024-02-23_11h14_00

Das für mich seltsame: Wenn ich via cmd den Zeitserver abfrage wird mir hier die CMOS-Uhr angezeigt als Taktgeber:
2024-02-23_11h03_39

Ich bereits lokal einen Zeitserver in betrieb genommen (via Docker) und diesen versucht anzusprechen um Probleme im Netz ausschließen zu können. Auch hier erfolgt das gleiche Ergebnis: Es kann keine Verbindung aufgebaut werden.

Nun habe ich ein kleines Script gebaut welches per Abfrage bei allen 250 Rechnern den Zeitserver abfragt.
Ergebnis: Etwa die Hälfte der Rechner nutzen die CMOS-Uhr, die andere Hälfte den NTP-Server. Dabei ist es egal ob die Rechner im Homeoffice oder im Büro betrieben werden. Es ist bunt gemischt.

Was mich wundert ist das scheinbar hin und wieder eine Verbindung funktioniert. (Siehe Letzte erfolgreiche Zeitsyncronisation)
Hat jemand eine Idee wie ich dem Problem weiter auf die Spur kommen könnte?

Content-Key: 5372645315

Url: https://administrator.de/contentid/5372645315

Printed on: April 13, 2024 at 01:04 o'clock

Member: Kraemer
Kraemer Feb 23, 2024 at 10:29:51 (UTC)
Goto Top
Moin,

die Rechner sind nicht zufällig Teil einer Windows-Domäne?

Gruß
Member: mxrecord
mxrecord Feb 23, 2024 at 10:35:23 (UTC)
Goto Top
Hi FFly82,

schau dir mal bitte die Ausgabe von "w32tm /query /configuration" an, ob du hier Unterschiede zwischen den Clients findest.

Ansonsten kann man über w32tm auch ein Debug Log einschalten und mal schauen, ob sich da etwas findet.
Die genauen Befehle habe ich gerade nicht greifbar, aber die Suchmaschine deines Vertrauens hilft da sicher fix weiter.

Viele Grüße

mxrecord
Member: FFly82
FFly82 Feb 23, 2024 at 11:35:18 (UTC)
Goto Top
Zitat von @mxrecord:

Hi FFly82,

schau dir mal bitte die Ausgabe von "w32tm /query /configuration" an, ob du hier Unterschiede zwischen den Clients findest.

Viele Grüße

mxrecord

Hier mal die Ergebnisse von 3 unterschiedlichen Rechnern:

2024-02-23_12h30_18
2024-02-23_12h29_24
2024-02-23_12h32_20

Wie man sieht ist irgendwie alles dabei in meinen Augen. (Mal ist ein Zeitanbieter gesetzt, mal nicht, mal nutzt er den hinterlegten Anbieter, mal nicht...)
Member: Franz-Josef-II
Franz-Josef-II Feb 23, 2024 at 11:36:22 (UTC)
Goto Top
Servas

Wenn die CMOS angegeben ist, dann bedeutet dies, daß er keinen Zeitserver erreicht. Das kannst Du mit einem
w32tm /resync
kontrollieren.

Wenn die Homearbeitsplätze ..... würde ich die Zeitserver auf diese Art konfigurieren:
w32tm /config /manualpeerlist:"0.de.pool.ntp.org,0x8 1.de.pool.ntp.org,0x8 2.de.pool.ntp.org,0x8 3.de.pool.ntp.org,0x8" /syncfromflags:manual,domhier /update  

Ansonsten in einer Domäne:
  • synchronisiert der PDC-Emulator (meist der DC1) mit einer externen Quelle?
  • ist am PDC der Port 123 offen?
  • synchronisieren sich die DCs mit dem PDC?
  • synchronisieren sich die Memberserver und Clients mit irgendeinem DC?
  • bei obigen Befehl: In der Domäne mit einem DC, außerhalb mit der externen Zeitquelle
Member: FFly82
FFly82 Feb 23, 2024 at 12:29:18 (UTC)
Goto Top
Zitat von @Franz-Josef-II:

Wenn die Homearbeitsplätze ..... würde ich die Zeitserver auf diese Art konfigurieren:
w32tm /config /manualpeerlist:"0.de.pool.ntp.org,0x8 1.de.pool.ntp.org,0x8 2.de.pool.ntp.org,0x8 3.de.pool.ntp.org,0x8" /syncfromflags:manual,domhier /update  

Auch dann bleibt der Fehler das KEIN NTP-Server gefunden/erreicht werden kann.

Ansonsten in einer Domäne:
...

Die Rechner sind wie gesagt nicht Mitglied der Domain sondern werden ausschließlich via Intune verwaltet.
Member: Ueba3ba
Ueba3ba Feb 23, 2024 at 12:47:55 (UTC)
Goto Top
Prüf mal die Firewall Logs, ob da eventuell NTP geblockt wird.
Ich meine natürlich nicht die Windows Firewall
Member: Kraemer
Kraemer Feb 23, 2024 updated at 13:16:16 (UTC)
Goto Top
in einer Adminkonsole:

net stop w32time
w32tm /unregister
w32tm /register
net start w32time
w32tm /config /manualpeerlist:"0.de.pool.ntp.org" /syncfromflags:manual /reliable:yes /update  

dann prüfen ob der Zeitdienst automatisch gestartet wird

Rechner neu starten
Member: Franz-Josef-II
Franz-Josef-II Feb 23, 2024 at 13:53:48 (UTC)
Goto Top
Okay, ausschließlich intune (Steht zwar anders ­čśŐ.... nicht jeder Rechner ständig Verbindung zum AD hat ....), dann vergiß das mit "domhier" und gib nur den Zeitserver an.

Wenn kein Zeitserver gefunden wird, dann blockt wahrscheinlich irgendwo eine Firewall. Die "HomeOfficeClients" kommen die auch direkt ins Internet oder nur über z.B. VPN und die Firma?
Member: FFly82
FFly82 Feb 23, 2024 at 14:45:01 (UTC)
Goto Top
Zitat von @Franz-Josef-II:

Die "HomeOfficeClients" kommen die auch direkt ins Internet oder nur über z.B. VPN und die Firma?

Die kommen direkt ins Internet. Es läuft ein Split-Tunnel der Anfragen gegen unsere internen Dienste über den VPN laufen lässt, Anfragen ans Internet aber direkt geroutet werden
Member: Franz-Josef-II
Franz-Josef-II Feb 23, 2024 at 14:51:19 (UTC)
Goto Top
Dann überprüfe einmal den DNS, wo der hinzeigt (nslookup).

Im eigenen Netz: Gibt es Gemeinsamkeiten? Z.B. alle auf dem Switch-003 haben das Problem, alle am 2er nicht? Was passiert wenn Du einen funktionierenden an das Kabel eines nichtfunktionierenden hängst und umgekehrt?
Member: Pjordorf
Pjordorf Feb 23, 2024 at 17:20:02 (UTC)
Goto Top
Hallo,

Zitat von @FFly82:
Wie so oft vermutlich DNS. Prüfen. Auch ein [https://www.wireshark.org/download.html Kabelhai} zeigt dir wos hängt. https://www.cisco.com/c/de_de/support/docs/routers/vedge-router/220330-t ...
Zeitserver im Netzwerk identifizieren
https://wiki.wireshark.org/SampleCaptures#network-time-protocol
Lass deine Clients einen Mittschnitt für NTP und DNS machen, dann anschauen und Fehler beheben.

Gruß,
Peter
Member: FFly82
Solution FFly82 Feb 23, 2024 at 22:49:17 (UTC)
Goto Top
Danke an alle. Hab das Problem nach etlichen Stunden und probieren lösen können.

Im Intune musste der Type von NT5DS auf NTP geändert werden.
https://community.spiceworks.com/topic/2360713-azure-ad-joined-devices-n ...

Warum einige Rechner trotz NT5DS eine Zeit bekommen haben ist mir zwar nicht ganz klar, die Zeiten werden nun aber vernünftig gesynct. (scheinbar bei allen Rechnern)
Member: Pjordorf
Pjordorf Feb 24, 2024 at 00:18:37 (UTC)
Goto Top
Hallo,

Zitat von @FFly82:
Warum einige Rechner trotz NT5DS eine Zeit bekommen haben ist mir zwar nicht ganz klar, die Zeiten werden nun aber vernünftig gesynct. (scheinbar bei allen Rechnern)
Scheinbar bedeutet Du weisst es nicht...
https://www.anoopcnair.com/enable-windows-ntp-client-using-intune/

Gruß,
Peter