05.12.2023

4503

Zeitabweichung um bis zu 3 min im Netzwerk

Hallo, ich habe schon viel drüber gelesen, aber kann die Ursache noch nicht genau finden.
Ich betreue einen Kunden, dessen DC,Ex die falsche Zeit hat. Diese laufen auf vmware

Nicht von mir eingerichtet

Nun kommt es immer wieder zu abweichungen in der Zeit.
Wenn ich beim DC ne Abfrage macht gibt er mit als Quelle "LOCL" aus. Vielleicht hilf euch das.

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 61068614732

Url: https://administrator.de/contentid/61068614732

Ausgedruckt am: 19.12.2024 um 15:12 Uhr

37 Kommentare

Neuester Kommentar

Nur eine Vermutung: LOCL könnte für Local Clock stehen. Dann vermutlich der Zeitgeber/Hardware-Uhr, bei dedizierten Rechnern. Am besten ist, wenn der DC seine Zeit von einem NTP-Server bezieht. VMware versucht das zwar zu simulieren, aber ich kenne es unter KVM und da funktioniert nicht zuverlässig. Deshalb wird bei virtuellen Maschinen mit Linux zum Beispiel in erster Linie chrony verwendet, weil es genau für diesen Zweck entstanden ist. Das Problem beim NTP-Server, war meines Wissens nach, das dieser Versucht sich nach beiden Quellen zu richten, also Mainboard-Zeit und externe NTP-Server. Das führte immer zu Problemen.

Am besten ist du überprüfst erstmal woher die DC ihre Zeit beziehen und stellst sie auf einen externen NTP-Server ein.

Moin @Decker2022,

Wenn ich beim DC ne Abfrage macht gibt er mit als Quelle "LOCL" aus. Vielleicht hilf euch das.

ja da hilft. 😉
Das Problem ist, dass bei deinen DC VM's die Zeitsynchronisation zwischen Host und VM aktiviert ist, was übrigens sowohl bei VMware als auch Hyper-V, default ist.

Als erstes solltest du diese deaktivieren.

https://docs.vmware.com/de/VMware-Tools/12.3.0/com.vmware.vsphere.vmware ...

Danach solltest du auf den DCs anständige Zeitserver für die Synchronisation hinterlegen.

w32tm /config /manualpeerlist:"ptbtime1.ptb.de ptbtime2.ptb.de ptbtime3.ptb.de ptbtime4.ptb.de" /syncfromflags:manual /reliable:yes /update   

Dann noch den Dienst neu starten ...

net stop w32time
net start w32time

... und schon sollte der Fisch geputzt sein. 😉

Gruss Alex

Moin,

Zitat von @Decker2022:

Hallo, ich habe schon viel drüber gelesen, aber kann die Ursache noch nicht genau finden.

das ist nicht gut

Ich betreue einen Kunden, dessen DC,Ex die falsche Zeit hat. Diese laufen auf vmware

bist aber ein Freund von Knobelspielen. Weil mit DC,Ex hast du kauzm Zeit gespart

Nicht von mir eingerichtet

Spielt doch keine Rolle, wenn du den Kunden jetzt betreust

Nun kommt es immer wieder zu abweichungen in der Zeit.

ein bekanntes Problem

Wenn ich beim DC ne Abfrage macht gibt er mit als Quelle "LOCL" aus. Vielleicht hilf euch das.

klar. Sollte dir auch was sagen. Und Google erst...

z.B. https://docs.vmware.com/de/VMware-Tools/12.3.0/com.vmware.vsphere.vmware ...

Moin @Kraemer,

z.B. https://docs.vmware.com/de/VMware-Tools/12.3.0/com.vmware.vsphere.vmware ...

und genau das sollte man bei Zeitkritischen Systemen wie DC's aber auch SQL Server, eben nicht wirklich machen.

https://www.faq-o-matic.net/2010/04/21/virtuelle-dcs-zeitprobleme-vermei ...
https://communities.vmware.com/t5/ESXi-Discussions/VMWARE-time-sync-AD-s ...

Gruss Alex

Also Leute, sorry bin noch nicht lange dabei im Serverbereich, erst seit März.
LOCL heist local mit Sicherheit, ohne mal gegoogled zu haben
Habe in der ESXI mal nachgeschaut. Kein Host Syncronisiert mit der ESXI, der haken ist bei den einzelnen Systeme / Server nicht gesetzt.
Also wo, wenn nicht vom Internet holt er die verdammte Zeit nun ?
Verstehe ich das nicht ?

Also an einem Rechner der ohne Verbindung zum DC ist, steht die Zeit korrekt und wird regulär aus dem Internet geholt.
Ich kann mir ja noch vorstellen, dass der DC seine im AD angemeldeten Rechner mit der zeit versorgt. Aber das tuts ja auch nicht.
Also bitte, für nicht ganz Profis, welche Infos müsst ihr haben, damit ich da weiter komm ?
Danke im Vorraus

Zitat von @MysticFoxDE:

und genau das sollte man bei Zeitkritischen Systemen wie DC's aber auch SQL Server, eben nicht wirklich machen.

und genau das steht zwischen den Zeilen da auch. Deaktivieren ist die einzige richtige Variante.

Davon ab: Dein Post ist eine vollumfängliche Anleitung. Reicht dem TO aber immer noch nicht...

@MysticFoxDE
Also der DC solls richten ?
Aber warum stimmt der nicht überein?
Er geht ja über externe Quelle!

ich lese gerade bei virtuellen dc manuelle liste ?
Verstehe ich das richtig ?
Und die Clients vom DC ?

Moin @Decker2022,

Also Leute, sorry bin noch nicht lange dabei im Serverbereich, erst seit März.

alles gut, wir haben alle mal klein angefangen. 😉

LOCL heist local mit Sicherheit, ohne mal gegoogled zu haben

LOCL heisst bei normalen PC's dass die Zeit vom BIOS kommt und bei VM kommt die bei LOCAL vom Host.

Habe in der ESXI mal nachgeschaut. Kein Host Syncronisiert mit der ESXI, der haken ist bei den einzelnen Systeme / Server nicht gesetzt.
Also wo, wenn nicht vom Internet holt er die verdammte Zeit nun?

Siehe obere Antwort.

Verstehe ich das nicht ?

Die Zeitsynchronistaion deiner DC's, wurde so wie es aussieht noch nie richtig eingerichtet.

Also bitte, für nicht ganz Profis, welche Infos müsst ihr haben, damit ich da weiter komm ?

CMD auf den DC's als Administrator starten und die folgenden Befehle reinklopfen.

w32tm /config /manualpeerlist:"ptbtime1.ptb.de ptbtime2.ptb.de ptbtime3.ptb.de ptbtime4.ptb.de" /syncfromflags:manual /reliable:yes /update    
net stop w32time
net start w32time

Dann muss natürlich noch sichergestellt werden, dass alle internen Firewalls, die NTP Anfragen (TCP&UDP 123) zu ptbtime1.ptb.de & ptbtime2.ptb.de & ptbtime3.ptb.de & ptbtime4.ptb.de durchlassen und schon müssten deine DC's gegen die genausten Atomuhren in Deutschland synchronisieren. 😉

Danke im Vorraus

Bitte und sehr gerne.

Gruss Alex

Moin @Decker2022,

ich lese gerade bei virtuellen dc manuelle liste
Und die Clients vom DC

ja, genau so sollte es normalerweise laufen.

Gruss Alex

Moin @Decker2022,

Er geht ja über externe Quelle!

... ähm ...

Wenn ich beim DC ne Abfrage macht gibt er mit als Quelle "LOCL" aus. Vielleicht hilf euch das.

wie kommst du bei Quelle "LOCL" jetzt auf extern?

Gruss Alex

Moin,

Zitat von @MysticFoxDE:
CMD auf den DC's als Administrator starten und die folgenden Befehle reinklopfen.

Nein. Nur auf dem PDC-Emulator. Der ist der Herr über die Zeit in der Domain.

Ich fürchte nur, dass da vom Vorgänger des TO mal wieder am Domain-Zeitsystem rumgefummelt wurde und es deshalb nicht geht. So wie ich den TO verstehe, weichen die Uhren in der Domain voneinander ab.

Liebe Grüße

Erik

Moin @Kraemer,

und genau das sollte man bei Zeitkritischen Systemen wie DC's aber auch SQL Server, eben nicht wirklich machen.

und genau das steht zwischen den Zeilen da auch. Deaktivieren ist die einzige richtige Variante.

ja, OK, aber um das zwischen den Zeilen so auch rauszulassen, benötigt ein ITler normalerweise jahrelange Übung und die ist beim TO ...

"Also Leute, sorry bin noch nicht lange dabei im Serverbereich, erst seit März."

... definitiv noch nicht gegeben.

Gruss Alex

Zitat von @MysticFoxDE:

Moin @Kraemer,

und genau das sollte man bei Zeitkritischen Systemen wie DC's aber auch SQL Server, eben nicht wirklich machen.

und genau das steht zwischen den Zeilen da auch. Deaktivieren ist die einzige richtige Variante.

ja, OK, aber um das zwischen den Zeilen so auch rauszulassen, benötigt ein ITler normalerweise jahrelange Übung und die ist beim TO ...

"Also Leute, sorry bin noch nicht lange dabei im Serverbereich, erst seit März."

... definitiv noch nicht gegeben.

Gruss Alex

Zitat aus der Anleitung:

ative Uhrzeitsynchronisierungsprogramme wie NTP (Network Time Protocol) für Linux und Mac OS X oder Microsoft Windows Time Service (Win32Time) für Windows sind in der Regel genauer als die regelmäßige Uhrzeitsynchronisierung von VMware Tools.

@Kraemer

1. Ist deaktviert im ESXI
2 DC holt derzeit online also extern die Zeit, die nicht stimmt
3. Die anderen Systeme, wie der Ex hat auch die falsche Zeit
Und nun ?

Dein Vorschlag ?

Moin,

Zitat von @Decker2022:
1. Ist deaktviert im ESXI

2 DC holt derzeit online also extern die Zeit, die nicht stimmt

Wo holt er sie sich?

3. Die anderen Systeme, wie der Ex hat auch die falsche Zeit

Die gleiche falsche Zeit oder eine andere falsche Zeit. Oder: weichen die Clients vom PDC ab?

Dein Vorschlag ?

Auf dem PDC und auf den betroffenen Rechnern folgendes ausführen:

w32tm /query /status

Auf dem PDC sollte das Ergebnis so aussehen:

Sprungindikator: 0(keine Warnung)
Stratum: 2 (Sekundärreferenz - synchr. über (S)NTP)
Präzision: -23 (119.209ns pro Tick)
Stammverzögerung: 0.0205030s
Stammabweichung: 0.1180768s
Referenz-ID: 0xC035676C (Quell-IP:  192.53.103.108)
Letzte erfolgr. Synchronisierungszeit: 05.12.2023 16:58:09
Quelle: ptbtime1.ptb.de,0x8
Abrufintervall: 10 (1024s)

Wichtig an der Stelle ist, dass in der Zeile Quelle ein externer, erreichbarer und nicht zu entfernter öffentlicher Zeitserver steht.

Auf eventuell weiteren DCs sollte das so aussehen:

Sprungindikator: 0(keine Warnung)
Stratum: 3 (Sekundärreferenz - synchr. über (S)NTP)
Präzision: -23 (119.209ns pro Tick)
Stammverzögerung: 0.0211191s
Stammabweichung: 0.1437037s
Referenz-ID: 0xAC140A0A (Quell-IP:  172.20.10.10)
Letzte erfolgr. Synchronisierungszeit: 05.12.2023 16:57:21
Quelle: PDC.acme.com
Abrufintervall: 10 (1024s)

Wichtig ist hier, dass in der Zeile Quelle der PDC der Domain steht.

Bei allen anderen Rechnern sollte das so aussehen:

Sprungindikator: 0(keine Warnung)
Stratum: 4 (Sekundärreferenz - synchr. über (S)NTP)
Präzision: -23 (119.209ns pro Tick)
Stammverzögerung: 0.0222542s
Stammabweichung: 0.2746073s
Referenz-ID: 0xAC140A0B (Quell-IP:  172.20.10.11)
Letzte erfolgr. Synchronisierungszeit: 05.12.2023 16:19:40
Quelle: anyDC.acme.com
Abrufintervall: 12 (4096s)

Auch hier ist wieder die Zeile, in der die Quelle steht, die entscheidende. Hier sollte ein beliebiger DC der Domain stehen.

Bitte einmal ausführen und bestätigen, dass die Quellen alle korrekt sind. Dann sehen wir weiter.

Liebe Grüße

Erik

PTB und deren NTP Server ist kein guter Tipp denn die mögen die Consumer nicht mehr.
https://www.heise.de/ratgeber/oeffentliche-Zeitquellen-322978.html
Noch besser ist es den DE Pool von ntp.org zu verwenden:
w32tm /config /manualpeerlist:"de.pool.ntp.org" /syncfromflags:manual /reliable:yes /update

Die Frage hat der TO ja leider noch nicht beantwortet WO seine Server sich ihre Zeit holen bzw. was er da konfiguriert hat?!

Moin @aqui,

PTB und deren NTP Server ist kein guter Tipp denn die mögen die Consumer nicht mehr.
https://www.heise.de/ratgeber/oeffentliche-Zeitquellen-322978.html

ich bin mir ziemlich sicher, dass wir dieses Thema schon mal hatten.
Na ja, wie auch immer, der Artikel der Heise ist zum einen komplett veraltet zum anderen ist das was die Heisse in diesem prophezeit hat, niemals wirklich eingetroffen.
Im Gegenteil, der PBC hat mittlerweile zur Redundanz sogar noch einen weiterer Standort "ptbtime4.ptb.de" dazu genommen. 😉

https://www.ptb.de/cms/ptb/fachabteilungen/abtq/gruppe-q4/ref-q42/zeitsy ...

Gruss Alex

Moin @Decker2022,

1. Ist deaktviert im ESXI

ja, aber wahrscheinlich nur bei der DC VM und nicht bei den anderen,
daher holen die sich auch weiterhin die falsche Zeit vom ESXi.

2 DC holt derzeit online also extern die Zeit, die nicht stimmt

Siehe Post vom @erikro, wie man das Problem debuggen kann.

3. Die anderen Systeme, wie der Ex hat auch die falsche Zeit
Und nun ?

Du musst unbedingt auch auf den ESXi Hosts, die Zeitsynchronisation korrekt einrichten.

https://docs.vmware.com/de/VMware-vSphere/7.0/com.vmware.vsphere.securit ...

https://www.computerweekly.com/de/antwort/Wie-wird-die-ESXi-Zeitsynchron ...

Gruss Alex

Zitat von @aqui:

PTB und deren NTP Server ist kein guter Tipp denn die mögen die Consumer nicht mehr.
https://www.heise.de/ratgeber/oeffentliche-Zeitquellen-322978.html
Noch besser ist es den DE Pool von ntp.org zu verwenden:
w32tm /config /manualpeerlist:"de.pool.ntp.org" /syncfromflags:manual /reliable:yes /update

Die Frage hat der TO ja leider noch nicht beantwortet WO seine Server sich ihre Zeit holen bzw. was er da konfiguriert hat?!

Tja, also wenn ich den Befehl auf den Servern eingebe steht dort LOCL

Dann machst du irgendwas falsch!

@aqui, da geh ich von aus.
Ich muss dazu nochmal erwähnen, ich bin erst seid März 2023 erst soweit geschult dass ich mich traue in laufenden Systemen zu Arbeiten.
Ungefähr zu selben Zeit nahm ich mich diesen Systemen bei einem Kunden an. Dieser erzählte von größeren Zeitabweichungen im Netzwerk, dessen differenz nach und nach immer größer wurden.
Ich kann nur soviel sagen, es hängt eine Lenovo 19" im Schrank auf dem folgende virtuellen Server (auf vmware) laufen: DC, Exchange, Datenbankserver (für ein Hotelprogramm), 1 ClientSystem Windows 10 Pro.
Alles samt laufen in einer Domain.
Wenn ich mir die Systeme einzeln angucke, sehe ich immer den Quellserver "LOCL"
Wie gesagt ich habe es übernommen und nicht eingestellt.
Alle die in der Domain sind haben falsche Uhrzeiten, außer einen speraten Client der nicht mit dem DC verbunden ist, dieser hat die Korrekte Uhrzeit und ist nicht virtuell.
Im ESXI habe ich, soweit ich mich traue versucht festzustellen ob er die Ursache ist. Habe die zeitserver dort angepasst, aber ergal was ich eintrage, eine Differenz von bis zu 4 min sind immer da.
Schalte ich ihn ab, ändert das derzeit auch nix.
Wie gesagt, ich bin was das betrifft, dass erste mal auf das Problem gestoßen. Hab einiges gelesen, aber wohl noch nicht genug. Daher bat ich um Hilfe.
Wenn du detalierte Angaben brauchst, sag mir bescheid , ich leifere dann so nach.
Brauch nur im Moment ein wenig um zu antworten.

Moin @Decker2022:

Im ESXI habe ich, soweit ich mich traue versucht festzustellen ob er die Ursache ist. Habe die zeitserver dort angepasst, aber ergal was ich eintrage, eine Differenz von bis zu 4 min sind immer da.

wenn die ESXi die Zeit auch nicht Synchronisieren, obwohl du externe Zeitquellen angegeben hast, dann gibt es dafür eigentlich nur 2 Gründe.
Entweder passt das Routing auf den ESXi nicht, sprich, es ist z.B. keine Default Gateway eingetragen.
Oder, die Firewall, die sich zwischen den ESXi Servern und dem WAN befindet, blockt die NTP Anfragen weg.

Trage mal bitte auf dem ESXi den "ptbtime1.ptb.de" als Zeitquelle ein und stelle bitte sicher, dass die Firewall vom ESXi Richtung "ptbtime1.ptb.de/192.53.103.108" die NTP Verbindungen, sprich Port 123 TCP&UDP, zulässt.

Solltest du dem Vorschlag von @aqui folgen und den "de.pool.ntp.org" benutzen, dann muss in der Firewall, vom ESXi Richtung WAN, NTP für "any" freigegeben werden, das sich die IP-Adressen von "de.pool.ntp.org" ständig ändern.

Gruss Alex

@MysticFoxDE
Firewall die mein Vorgänger eingerichtet hat.

Das habe ich nun in die ESXI eingetragen

Und das zeigt der Rechner an, auf dem ich sie programmiert habe, ist ein seperater Backuprechner angemeldet am DC.

Moin @Decker2022,

Firewall die mein Vorgänger eingerichtet hat.

OK, prüf mal bitte, ob die IP des Objekts "ESXI" auch mit der tatsächlichen IP des ESXi übereinstimmt.
Das ist übrigens noch eines Sophos SG, sie solltest du mal zu einer XG wandeln.

Ähm, by the way, die SG's konnten eigentlich selber NTP Server spielen.
Wie sieht den die NTP Konfiguration der SG aus?

Das habe ich nun in die ESXI eingetragen

Und das zeigt der Rechner an, auf dem ich sie programmiert habe, ist ein seperater Backuprechner angemeldet am DC.

Das dauert manchmal eine Weile, bis sich die Systemuhr synchronisiert hat.
Das mit der eine Stunde Versatz ist auch OK, da der ESXi die Uhrzeit nur in UTC beherrscht.

https://docs.vmware.com/de/VMware-vSphere/7.0/com.vmware.vsphere.vcenter ...

Was zeigt der ESXi auf der Console, sprich per Monitor an?
Die Angebe ist nämlich viel genauer, die im Browser kann man +- eigentlich leicht knicken.

Gruss Alex

@MysticFoxDE
Sorry kein Monitor dran.
Ich weiß, die SG muss bis nächste Jahr getauscht werden. Hat gerade noch eine Lizenz bekommen, gültig bis juli.
Werden da wohl auf ein anderes Produkt umsteigen. Werde nicht noch ne teuere Sophos Schulung machen um Support zu bekommen.
Sag mir eben kurz wo das in der Sophos ist mit dem NTP

Also die ESXI hat die richtige IP.

PS Und danke im vorraus

Moin @Decker2022,

Sorry kein Monitor dran.

ILO, RMM oder ähnliches?

Ich weiß, die SG muss bis nächste Jahr getauscht werden. Hat gerade noch eine Lizenz bekommen, gültig bis juli.

die SG Lizenz kannst du jederzeit zu einer XG wandeln. 😉

Werden da wohl auf ein anderes Produkt umsteigen. Werde nicht noch ne teuere Sophos Schulung machen um Support zu bekommen.

Ähm, wie kommst du drauf, dass du eine Schulung machen musst, damit du von Sophos Support bekommst?
Das wäre mir jetzt absolut neu.

Sag mir eben kurz wo das in der Sophos ist mit dem NTP

https://doc.sophos.com/nsg/sophos-utm/utm/9.708/help/en-us/Content/utm/u ...
https://doc.sophos.com/nsg/sophos-utm/utm/9.708/help/en-us/Content/utm/u ...

Screenshots kann ich dir leider keine mehr machen, da wir selbst eine XG haben und auch unsere Kunden nur noch XG(S)'s haben.

Gruss Alex

@MysticFoxDE
Kann ich das per Weboberfläche in der ESXI irgendwo einrichten mit Remote ?
Die einzelnen Hosts weiß ich ja, aber remote ESXI ?

Ich weiß, aber dieses Hotel befindet sich Servertechnisch im wandel. Eigentlich exisitert nur noch der Exchange bis zur Umstellung.
Dann fällt er raus.
Daher habe ich mich noch nicht für eine teure Sophos Lösung entschieden.
Was die Schulung betrifft, meine Auskunft war dass nur Händler mit Gold, Platinstatus etc. entsprechende Einkäufe und Support erhalten.

Danke schon mal, ich schaue wegen den NTP mal nach.

Moin @Decker2022,

@MysticFoxDE
Kann ich das per Weboberfläche in der ESXI irgendwo einrichten mit Remote ?
Die einzelnen Hosts weiß ich ja, aber remote ESXI ?

sind die ESXi etwa vSphere verwaltet?

Ich weiß, aber dieses Hotel befindet sich Servertechnisch im wandel. Eigentlich exisitert nur noch der Exchange bis zur Umstellung.
Dann fällt er raus.
Daher habe ich mich noch nicht für eine teure Sophos Lösung entschieden.

Dennoch haben die ausser einem Exchange, bestimmt auch andere Hardware wie z.B. die Kasse(n), Haussteuerung & Co., die ja auch weiterhin sauber geschützt werden sollten.

Was die Schulung betrifft, meine Auskunft war dass nur Händler mit Gold, Platinstatus etc. entsprechende Einkäufe und Support erhalten.

Ja, OK, dir geht es um den Partnerstatus.
Na ja, die paar Onlineprüfungen sind ja recht schnell durchgeklickert. 🙃

Gruss Alex

@MysticFoxDE
Nein der ESXi ist VMWare
War ja drauf.

Nein der ESXi ist VMWare

Welch' bahnbrechende Erkenntniss!!

Nein der ESXi ist VMWare

Welch' bahnbrechende Erkenntnis!!

@aqui
LOL
Sorry du hast recht, war schneller mit dem Antworten, als mit dem verstehen deiner Frage.
Sorry dafür
Hat den Begriff vsphere noch nicht so im Bezug gehabt,

Moin @Decker2022,

so, jetzt habe ich endlich die Doku gefunden, die ich gesucht habe. 😁

https://kb.vmware.com/s/article/1005092

In dieser steht nämlich 1A beschrieben, wie man beim ESXi, NTP-Sync-Problemen auf die Schliche kommen kann. 😉

Gruss Alex