30.03.2021, aktualisiert um 17:07:50 Uhr

17112

Zeitsynchronisation innerhalb einer Domäne

Hallo zusammen,

bei der letzten Zeitumstellung am Wochenende gab es das Problem, dass nicht alle Clients (Win10) ihre Zeiteinstellung synchronisiert haben. Auf einigen PCs fand überhaupt keine Zeitumstellung statt, auf anderen erfolgte diese, allerdings ergeben sich auch hier geringere Abweichungen (60 Sekunden) von der korrekten Zeit.

Die Zeit des PDC (Server 2012 R2) ist dabei korrekt, andere Domaincontroller haben ihre Zeitumstellung zwar vorgenommen, allerdings ergeben sich auch hier Abweichungen von rd. 60 Sekunden ggü. dem PDC. (Edit: Der PDC bezieht seine Zeit offenbar doch nicht korrekt von einem NTP-Server! Ein manueller Abgleich der Zeit von einem NTP-Server ist möglich, nicht jedoch der automatische Abgleich mit dem Dienst w32tm.)

Generell ist bei uns die Einrichtung gemäß https://www.gruppenrichtlinien.de/artikel/zeitsynchronisation-der-domaen ... erfolgt. Wenn ich im Anschluss auf den Clients manuell eine Zeitsynchronisierung anstoße, dann erhalte ich durchgängig

Der Computer wurde nicht synchronisiert, da keine Zeitdaten verfügbar waren.

In der Ereignisprotokollierung der Clients konnte ich von der Quelle "Time-Service" ausschließlich Hinweise mit der ID 158 (betreffend VMICTimeProvider) finden - dies würde ich ignorieren. Andere Einträge sind nicht enthalten.

Was läuft hier schief? Habt ihr da noch einen Tipp?

Viele Grüße

Michael

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 665266

Url: https://administrator.de/forum/zeitsynchronisation-innerhalb-einer-domaene-665266.html

Ausgedruckt am: 22.12.2024 um 17:12 Uhr

26 Kommentare

Neuester Kommentar

Moin,

welche Quelle gibt ein

w32tm /query /status

auf dem PDC aus ?

Gruß
Jasper

Hmm, da wird

Sprungindikator: 0(keine Warnung)
Stratum: 1 (Primärreferenz - synchron. über Funkuhr)
Präzision: -6 (15.625ms pro Tick)
Stammverzögerung: 0.0000000s
Stammabweichung: 10.0000000s
Referenz-ID: 0x4C4F434C (Quellname:  "LOCL")  
Letzte erfolgr. Synchronisierungszeit: 30.03.2021 11:35:30
Quelle: Free-running System Clock
Abrufintervall: 6 (64s)

ausgegeben.

Habe jetzt noch mal die Ereignisanzeige auf dem PDC bemüht. Dort erscheinen die folgende Hinweise:

- Der Zeitdienst wird als Zeitquelle angekündigt.
- Der Zeitdienst wird als gute Zeitquelle angekündigt.
- Zeitanbieter "NtpClient": Dieser Computer ist für die Verwendung der Domänenhierarchie zum Ermitteln der Zeitquelle konfiguriert. Er ist aber der PDC-Emulator der Domäne, der erste Computer in der Gesamtstruktur. Daher gibt es keinen Computer oberhalb der Domänenhierarchie, der als Zeitquelle verwendet werden kann. Es wird empfohlen, dass Sie entweder einen zuverlässigen Zeitdienst in der Stammdomäne konfigurieren oder den PDC manuell zur Synchronisierung der externen Zeitquelle konfigurieren. Andernfalls wird dieser Computer als verbindliche Zeitquelle in der Domänenhierarchie ausgeführt. Wenn keine externe Zeitquelle konfiguriert ist, bzw. von dem Computer nicht verwendet wird, kann der NtpClient deaktiviert werden.  
- Der Zeitanbieter "Windows Time Agent" hat folgenden Fehler protokolliert: According to de.pool.ntp.org, the system clock is wrong by 6 seconds, 821 milliseconds. This exceeds the alert threshhold set in the Windows Time Control Panel applet.  

Anscheinend kann er mit dem externen Zeitserver kommunizieren, führt aber selbst keine Synchronisation durch?!

Zitat von @m8ichael:

Moin,

Sprungindikator: 0(keine Warnung)
Quelle: Free-running System Clock

das ist fatal, du überlässt den Server sich selber. Man braucht immer mindestens einen gültigen Uplink-NTP z.B. ptbtime1.ptb.de, der muss bei Quelle drinstehen.

Die zweite Ausgabe besagt, dass dein PDC nicht weiß, dass er der Hauptzeitgeber ist. Das musst du korrigieren, dann läuft alles.

VG

Moin,

dein PDC kann den NTP über Port123 TCP erreichen ?

Gruß
Jasper

mindestens einen gültigen Uplink-NTP z.B. ptbtime1.ptb.de, der muss bei Quelle drinstehen.

Keine gute Idee und sollte man besser bleiben lassen, denn die PTP sieht das nicht mehr so gerne und anhand der Absender IP ist man für die immer identifizierbar !!
Besser man verwendet de.pool.ntp.org oder einen dedizierten NTP Server aus diese Liste und nicht die PTB !:
https://www.heise.de/ct/hotline/Oeffentliche-Zeitquellen-322978.html

Hallo,

das ist fatal, du überlässt den Server sich selber. Man braucht immer mindestens einen gültigen Uplink-NTP z.B. ptbtime1.ptb.de, der muss bei Quelle drinstehen.

OK, aber wie bekomme ich die Quelle berücksichtigt? Ich habe parallel mal die folgenden Befehle abgesetzt

w32tm /config /syncfromflags:manual /manualpeerlist:"0.de.pool.ntp.org, 1.de.pool.ntp.org"  
w32tm /config /reliable:yes /update

aber bei w32tm /query /status erscheint noch immer das gleiche Bild (also lokale Zeitsynchronisation).

Kann ich irgendwie feststellen, ob der Dienst den NTP-Server erreichen kann? Ich hatte bisher in der Firewall den Port 123 UDP freigegeben. Wird auch TCP benötigt? Ich habe mal testweise die Firewall komplett deaktiviert, jedoch immer noch das gleiche Bild.

Wird auch TCP benötigt?

Ja, von der RFC_Definition (Kapitel 16) her schon. Siehe: https://de.wikipedia.org/wiki/Network_Time_Protocol
TCP ist aber eher ungebräuchlich. Was dein Endgerät wirklich für NTP nutzt und ob die NTP Kommunikation überhaupt stattfindet, zeigt dir wie immer ein schneller Wireshark Trace.

Zitat von @aqui:

mindestens einen gültigen Uplink-NTP z.B. ptbtime1.ptb.de, der muss bei Quelle drinstehen.

Keine gute Idee und sollte man besser bleiben lassen, denn die PTP sieht das nicht mehr so gerne

ptbtimex.ptb.de ist via TCP/UDP 123 von extern any erreichbar, in dem Moment ist es ein öffentlicher NTP. Wenn die das nicht wollen, müssen die die Ports dicht machen.

und anhand der Absender IP ist man für die immer identifizierbar !!

Wie bei allen anderen Zeitgebern auch. Wer weiß, was für eine Datenkrake pool.ntp.org ist...

Hallo,

ich meine, die Adressen werden nur durch ein Leerzeichen und nicht durch ein Komma getrennt.
Also:

w32tm /config /syncfromflags:manual /manualpeerlist:"0.de.pool.ntp.org 1.de.pool.ntp.org"  

Gruß Lars

Hallo,

poste sonst mal die Ausgabe von:

w32tm /query /configuration

auf deinem PDC.

Dort muss bei Typ "NTP" stehen! Bei allen anderen Rechnern "NT5DS"

Im Übrigen wird es übersichtlicher, die Zeiteinstellungen per GPO festzulegen. Wenn Du dann noch die GPOs für die Domänencontroller mit einem WMI-Filter für bzw. gegen die PDC-Rolle versiehst, klappt es sogar beim FSMO-Rollenwechsel.

Grüße

lcer

Habe mal ein die Debugging-Funktion von w32tm aktiviert:

153490 11:30:26.4351160s - Sample Prepared at 132615774264351160 for peer 0.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->162.159.200.123:123)
153490 11:30:26.4351160s - Sample Prepared at 132615774264351160 for peer 0.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->90.187.99.165:123)
153490 11:30:26.4351160s - Sample Prepared at 132615774264351160 for peer 0.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->185.11.138.90:123)
153490 11:30:26.4351160s - Sample Prepared at 132615774264351160 for peer 0.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->62.116.162.126:123)
153490 11:30:26.4351160s - Sample Prepared at 132615774264351160 for peer 1.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->173.249.58.145:123)
153490 11:30:26.4351160s - Sample Prepared at 132615774264351160 for peer 1.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->80.151.186.5:123)
153490 11:30:26.4351160s - Sample Prepared at 132615774264351160 for peer 1.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->116.203.151.74:123)
153490 11:30:26.4351160s - Sample Prepared at 132615774264351160 for peer 1.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->213.209.109.45:123)
153490 11:30:26.4351160s - W32TmServiceMain: waiting 64.000s
153490 11:30:26.4651122s - PeerPollingThread: WaitTimeout
153490 11:30:26.4651122s - Polling peer 0.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->162.159.200.123:123)
153490 11:30:26.4651122s - Sending packet to 0.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->162.159.200.123:123) in Win2K detect mode, stage 1.
153490 11:30:26.4651122s - PollIntervalChange(0.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->162.159.200.123:123)): adjust: (--) -> 3
153490 11:30:26.4651122s - No response from peer 0.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->162.159.200.123:123).
153490 11:30:26.4651122s - 5 Age:5 Ofs:+00.0000000s Dly:+00.0000000s RDly:+00.0000000s Dsp:16.0000000s RDsp:00.0000000s Pnt:00.0096280s Dst:16.0096280s FDsp:08.0000000s
153490 11:30:26.4651122s - 4 Age:2 Ofs:+00.0000000s Dly:+00.0000000s RDly:+00.0000000s Dsp:16.0000000s RDsp:00.0000000s Pnt:00.0088876s Dst:16.0088876s FDsp:12.0000000s
153490 11:30:26.4651122s - 3 Age:1 Ofs:+00.0000000s Dly:+00.0000000s RDly:+00.0000000s Dsp:16.0000000s RDsp:00.0000000s Pnt:00.0088876s Dst:16.0088876s FDsp:14.0000000s
153490 11:30:26.4651122s - 2 Age:0 Ofs:+00.0000000s Dly:+00.0000000s RDly:+00.0000000s Dsp:16.0000000s RDsp:00.0000000s Pnt:00.0088876s Dst:16.0088876s FDsp:15.0000000s
153490 11:30:26.4651122s - 1 Age:3 Ofs:+00.0000000s Dly:+00.0000000s RDly:+00.0000000s Dsp:16.0000000s RDsp:00.0000000s Pnt:00.0081468s Dst:16.0081468s FDsp:15.5000000s
153490 11:30:26.4651122s - 0 Age:4 Ofs:+00.0000000s Dly:+00.0000000s RDly:+00.0000000s Dsp:16.0000000s RDsp:00.0000000s Pnt:00.0037024s Dst:16.0037024s FDsp:15.7500000s
153490 11:30:26.4651122s - Logging information: NtpClient has not received response from server 0.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->162.159.200.123:123).
153490 11:30:26.4651122s - PollIntervalChange(0.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->162.159.200.123:123)): reclamp: 3 -> 4 (min=4, max=15, sys=6)
153490 11:30:26.4651122s - Peer poll: Max:16.0000000s Cur:00.0000000s
153490 11:30:26.4651122s - PeerPollingThread: waiting 0.027s
153490 11:30:26.4921167s - PeerPollingThread: WaitTimeout
153490 11:30:26.4921167s - Polling peer 1.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->173.249.58.145:123)
153490 11:30:26.4921167s - Sending packet to 1.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->173.249.58.145:123) in Win2K detect mode, stage 1.
153490 11:30:26.4921167s - PollIntervalChange(1.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->173.249.58.145:123)): adjust: (--) -> 3
153490 11:30:26.4921167s - No response from peer 1.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->173.249.58.145:123).

Offenbar gibt es Probleme, den NTP-Host zu erreichen. Was mich insbesondere irritiert, ist die IP 0.0.0.0?! Ich bin allerdings ratlos, warum der PDC den Host nicht erreichen kann, denn laut Firewall ist alles offen und - lokal angemeldet - kann ich ohne Probleme z. B. einen Ping auf den NTP-Host absetzen.

Hat jemand einen Tipp?

Hier die Konfiguration:

[Konfiguration]

EventLogFlags: 2 (Lokal)
AnnounceFlags: 5 (Lokal)
TimeJumpAuditOffset: 28800 (Lokal)
MinPollInterval: 6 (Lokal)
MaxPollInterval: 10 (Lokal)
MaxNegPhaseCorrection: 172800 (Lokal)
MaxPosPhaseCorrection: 172800 (Lokal)
MaxAllowedPhaseOffset: 300 (Lokal)

FrequencyCorrectRate: 4 (Lokal)
PollAdjustFactor: 5 (Lokal)
LargePhaseOffset: 50000000 (Lokal)
SpikeWatchPeriod: 900 (Lokal)
LocalClockDispersion: 10 (Lokal)
HoldPeriod: 5 (Lokal)
PhaseCorrectRate: 7 (Lokal)
UpdateInterval: 100 (Lokal)

FileLogName: c:\temp\w32tm.log (Lokal)
FileLogEntries: 0-300 (Lokal)
FileLogSize: 1234567 (Lokal)

[Zeitanbieter]

NtpClient (Lokal)
DllName: C:\Windows\system32\w32time.DLL (Lokal)
Enabled: 1 (Lokal)
InputProvider: 1 (Lokal)
AllowNonstandardModeCombinations: 1 (Lokal)
ResolvePeerBackoffMinutes: 15 (Lokal)
ResolvePeerBackoffMaxTimes: 7 (Lokal)
CompatibilityFlags: 2147483648 (Lokal)
EventLogFlags: 1 (Lokal)
LargeSampleSkew: 3 (Lokal)
SpecialPollInterval: 3600 (Lokal)
Type: NTP (Lokal)
NtpServer: 0.de.pool.ntp.org 1.de.pool.ntp.org (Lokal)

NtpServer (Lokal)
DllName: C:\Windows\system32\w32time.DLL (Lokal)
Enabled: 1 (Lokal)
InputProvider: 0 (Lokal)
AllowNonstandardModeCombinations: 1 (Lokal)

VMICTimeProvider (Lokal)
DllName: C:\Windows\System32\vmictimeprovider.dll (Lokal)
Enabled: 1 (Lokal)
InputProvider: 1 (Lokal)

Grundsätzlich hatte ich auch die Konfiguration per Gruppenrichtlinie vorgenommen, da dies jedoch nicht funktionierte, jetzt mal testweise die reine lokale Definition.

Viele Grüße

Michael

Hallo,

Laut Protokoll versucht der Rechner der Reihe nach verschiedene NTP Server anzufragen. die 0.0.0.0 meint nur das Interface, von dem er das versucht (0.0.0.0 ) egal von welchem).

Wenn Du die Server mit ping erreichen kannst, musst Du sicherstellen, das Port 123 TCP und UDP frei sind.

Grüße

lcer

Habe jetzt mal ein NTP-Tool zum manuellen Testen heruntergeladen (NTP Check). Das Tool funktioniert auf dem Server ohne Probleme und kann die aktuelle Zeit vom NTP-Host abfragen. Insofern scheint es grundsätzlich kein Verbindungsproblem zu sein...

 153490 11:30:26.4651122s - No response from peer 0.de.pool.ntp.org (ntp.m|0x0|0.0.0.0:123->162.159.200.123:123)

Probier mal diesen Host direkt. Testet das Tool TCP und UDP?

Grüße

lcer

Die konkrete Adresse (162.159.200.123) funktioniert. Parallel habe ich noch mal w32tm mit dem Schalter /stripchart bemüht und auch hier scheint es eine Verbindung zu geben:

w32tm /stripchart /computer:de.pool.ntp.org

de.pool.ntp.org wird verfolgt [129.250.35.251:123].
Es ist 30.03.2021 15:13:19.
15:13:19 d:+00.0199805s o:+02.0343469s  [                           |     *                ]

Die +02... sind genau die Differenz zwischen der Echt- und Computerzeit. Insofern scheint die Verbindung zu stehen, aber w32tm funktioniert trotzdem nicht. Grrhh...

Moin,
trage mal nur pool.ntp.org ein anstatt 0.de.pool.ntp.org 1.de.ntp.org.
Ich hatte neulich einen DC, an dem musste ich zusätzlich in der Registry alles einstellen, nur mit GPO wollte er immer lokal die Zeit holen.
Ich habe zusätzlich in der Registry bei TimeProvider VMICTimeProvider deaktiviert.
Das ist wenn ich mich nicht täusche der HyperV Zeitdienst.

Hi,

Zitat von @Tektronix:
trage mal nur pool.ntp.org ein anstatt 0.de.pool.ntp.org 1.de.ntp.org.
Ich hatte neulich einen DC, an dem musste ich zusätzlich in der Registry alles einstellen, nur mit GPO wollte er immer lokal die Zeit holen.
Ich habe zusätzlich in der Registry bei TimeProvider VMICTimeProvider deaktiviert.

Führt hier leider auch nicht zum Ziel...

Das ist wenn ich mich nicht täusche der HyperV Zeitdienst.

Ja, das ist richtig. Habe den deaktiviert, aber auch damit bekomme ich keine Zeitsynchronisation hin.

Hi,

probier mal:

w32tm /config /manualpeerlist:"0.de.pool.ntp.org,0x8 1.de.pool.ntp.org,0x8 2.de.pool.ntp.org,0x8 3.de.pool.ntp.org,0x8" /syncfromflags:manual /reliable:yes /update  

Nabend,

W32tm /resync

kann nicht schaden nach Änderung der Config

gruss
kh

Hallo auch!

Zitat von @Smileychen:
probier mal:

w32tm /config /manualpeerlist:"0.de.pool.ntp.org,0x8 1.de.pool.ntp.org,0x8 2.de.pool.ntp.org,0x8 3.de.pool.ntp.org,0x8" /syncfromflags:manual /reliable:yes /update  

Das funktioniert leider auch nicht. Hier ist irgendwie echt der Wurm drin.

Sicherheitscheck auf NTP
reg query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\W32Time\Parameters
Erwartet wird
Type (REG_SZ)="NTP"

Ansonsten entspricht dies genau Deinen bisherigen Beschreibungen
https://social.technet.microsoft.com/Forums/de-DE/4ca08530-a892-47ae-b1c ...
Lösung im letzten Drittel:
in Umstellen des Zeitservers brachte aber zunächst auch keinen Erfolg.
Erst nach Aktualisierung der Integrationsdienste erlaubte das System ein Ändern des Zeitservers und syncte ordentlich.

Mahlzeit.

bei uns läuft die Zeitsynchronisation seit 2017 - da gab es mal ziemlich üble Probleme, weil mehrere Server meinten, sie seien das Zeitnormal - gut nach der folgenden Methode:

Auf dem "PDC":

Rem Erst den Dienst beenden
net stop w32time

Rem Als nächstes wird der Server eingestellt, mit dem sich der Windows Server abgleicht, 
w32tm /config /syncfromflags:manual /manualpeerlist:0.de.pool.ntp.org,1.de.pool.ntp.org,ptbtime1.ptb.de,ptbtime2.ptb.de,ptbtime3.ptb.de

Rem Fehlt nur noch, dass andere Clients sich auch die Zeit vom Server abholen dürfen, hierfür ist folgende Option notwendig
w32tm /config /reliable:yes

Rem Nur noch den NTP-Dienst aktiveren und schon ist alles gemacht!
net start w32time

Und auf allen anderen Servern ein bisschen umständlicher, weil wir die alten Einträge loswerden mussten:

Rem Erst den Dienst beenden
net stop w32time

Rem Als nächstes wird der Dienst deinstalliert, dabei werden alle Registryenträge automatisch gelöscht!!
w32tm /unregister

REM 20 Sekunden warten
Ping -n 20 localhost>NUL

Rem Dienst wieder installieren. Dadurch wird alles auf Standardwerte gesetzt.
w32tm /register

Rem Nur noch den NTP-Dienst aktiveren und schon ist alles gemacht!
net start w32time

REM Im Regelfall reicht das aus, aber für den Fall, dass da irgendetwas zufällig klemmt 
REM setzen wir die Synchronisation noch auf den zuständigen Domaincontroller
w32tm /config /syncfromflags:domhier /update

REM Und den Dienst sicherheitshalber noch einmal neu starten.
net stop w32time
net start w32time 

Die übermäßige Dokumentation ist der Tatsache geschuldet, dass das auch noch nach Jahren verstanden werden soll. Das letztere Script wird jedes Mal ausgeführt, wenn eine neue Vorlage für die vmWare erstellt wird.

Nachtrag:
Es gibt ein paar Switche von HP, die in den "Auto DOS settings" erfolgreich jegliche NTP Kommunikation unterdrücken.
Siehe:
https://louwrentius.com/hp-procurve-auto-dos-feature-causing-network-pro ...
HP ProCurve Switch 1810G-24 netbios Protokoll geht nicht wenn Auto - Dos u. Storm control aktiviert sind

Noch ein Nachtrag:
Hier wird erklärt, wie man das in einer Domäne per GPO erledigen kann.,
https://www.gruppenrichtlinien.de/artikel/zeitsynchronisation-der-domaen ...

Grüße aus dem Feld an der Kre