Zeitsynchronisation innerhalb einer Domäne

Mitglied: m8ichael

m8ichael (Level 1) - Jetzt verbinden

30.03.2021, aktualisiert 17:07 Uhr, 1303 Aufrufe, 26 Kommentare, 2 Danke

Hallo zusammen,

bei der letzten Zeitumstellung am Wochenende gab es das Problem, dass nicht alle Clients (Win10) ihre Zeiteinstellung synchronisiert haben. Auf einigen PCs fand überhaupt keine Zeitumstellung statt, auf anderen erfolgte diese, allerdings ergeben sich auch hier geringere Abweichungen (60 Sekunden) von der korrekten Zeit.

Die Zeit des PDC (Server 2012 R2) ist dabei korrekt, andere Domaincontroller haben ihre Zeitumstellung zwar vorgenommen, allerdings ergeben sich auch hier Abweichungen von rd. 60 Sekunden ggü. dem PDC. (Edit: Der PDC bezieht seine Zeit offenbar doch nicht korrekt von einem NTP-Server! Ein manueller Abgleich der Zeit von einem NTP-Server ist möglich, nicht jedoch der automatische Abgleich mit dem Dienst w32tm.)

Generell ist bei uns die Einrichtung gemäß https://www.gruppenrichtlinien.de/artikel/zeitsynchronisation-der-domaen ... erfolgt. Wenn ich im Anschluss auf den Clients manuell eine Zeitsynchronisierung anstoße, dann erhalte ich durchgängig


In der Ereignisprotokollierung der Clients konnte ich von der Quelle "Time-Service" ausschließlich Hinweise mit der ID 158 (betreffend VMICTimeProvider) finden - dies würde ich ignorieren. Andere Einträge sind nicht enthalten.

Was läuft hier schief? Habt ihr da noch einen Tipp?

Viele Grüße

Michael
Mitglied: JasperBeardley
30.03.2021 um 11:34 Uhr
Moin,

welche Quelle gibt ein

w32tm /query /status

auf dem PDC aus ?

Gruß
Jasper
Bitte warten ..
Mitglied: m8ichael
30.03.2021 um 11:38 Uhr
Hmm, da wird


ausgegeben.
Bitte warten ..
Mitglied: m8ichael
30.03.2021 um 12:06 Uhr
Habe jetzt noch mal die Ereignisanzeige auf dem PDC bemüht. Dort erscheinen die folgende Hinweise:


Anscheinend kann er mit dem externen Zeitserver kommunizieren, führt aber selbst keine Synchronisation durch?!
Bitte warten ..
Mitglied: chgorges
30.03.2021, aktualisiert um 12:08 Uhr
Zitat von @m8ichael:
Moin,

<code>Sprungindikator: 0(keine Warnung)
Quelle: Free-running System Clock

das ist fatal, du überlässt den Server sich selber. Man braucht immer mindestens einen gültigen Uplink-NTP z.B. ptbtime1.ptb.de, der muss bei Quelle drinstehen.

Die zweite Ausgabe besagt, dass dein PDC nicht weiß, dass er der Hauptzeitgeber ist. Das musst du korrigieren, dann läuft alles.

VG
Bitte warten ..
Mitglied: JasperBeardley
30.03.2021 um 12:16 Uhr
Moin,

dein PDC kann den NTP über Port123 TCP erreichen ?

Gruß
Jasper
Bitte warten ..
Mitglied: aqui
30.03.2021, aktualisiert um 12:29 Uhr
mindestens einen gültigen Uplink-NTP z.B. ptbtime1.ptb.de, der muss bei Quelle drinstehen.
Keine gute Idee und sollte man besser bleiben lassen, denn die PTP sieht das nicht mehr so gerne und anhand der Absender IP ist man für die immer identifizierbar !!
Besser man verwendet de.pool.ntp.org oder einen dedizierten NTP Server aus diese Liste und nicht die PTB !:
https://www.heise.de/ct/hotline/Oeffentliche-Zeitquellen-322978.html
Bitte warten ..
Mitglied: m8ichael
30.03.2021 um 12:36 Uhr
Hallo,

das ist fatal, du überlässt den Server sich selber. Man braucht immer mindestens einen gültigen Uplink-NTP z.B. ptbtime1.ptb.de, der muss bei Quelle drinstehen.

OK, aber wie bekomme ich die Quelle berücksichtigt? Ich habe parallel mal die folgenden Befehle abgesetzt


aber bei w32tm /query /status erscheint noch immer das gleiche Bild (also lokale Zeitsynchronisation).

Kann ich irgendwie feststellen, ob der Dienst den NTP-Server erreichen kann? Ich hatte bisher in der Firewall den Port 123 UDP freigegeben. Wird auch TCP benötigt? Ich habe mal testweise die Firewall komplett deaktiviert, jedoch immer noch das gleiche Bild.
Bitte warten ..
Mitglied: aqui
30.03.2021, aktualisiert um 12:51 Uhr
Wird auch TCP benötigt?
Ja, von der RFC_Definition (Kapitel 16) her schon. Siehe: https://de.wikipedia.org/wiki/Network_Time_Protocol
TCP ist aber eher ungebräuchlich. Was dein Endgerät wirklich für NTP nutzt und ob die NTP Kommunikation überhaupt stattfindet, zeigt dir wie immer ein schneller Wireshark Trace. ;-) face-wink
Bitte warten ..
Mitglied: chgorges
30.03.2021, aktualisiert um 14:05 Uhr
Zitat von @aqui:

mindestens einen gültigen Uplink-NTP z.B. ptbtime1.ptb.de, der muss bei Quelle drinstehen.
Keine gute Idee und sollte man besser bleiben lassen, denn die PTP sieht das nicht mehr so gerne
ptbtimex.ptb.de ist via TCP/UDP 123 von extern any erreichbar, in dem Moment ist es ein öffentlicher NTP. Wenn die das nicht wollen, müssen die die Ports dicht machen.
und anhand der Absender IP ist man für die immer identifizierbar !!
Wie bei allen anderen Zeitgebern auch. Wer weiß, was für eine Datenkrake pool.ntp.org ist...
Bitte warten ..
Mitglied: largot
30.03.2021, aktualisiert um 13:14 Uhr
Hallo,

ich meine, die Adressen werden nur durch ein Leerzeichen und nicht durch ein Komma getrennt.
Also:

Gruß Lars
Bitte warten ..
Mitglied: lcer00
30.03.2021 um 13:31 Uhr
Hallo,

poste sonst mal die Ausgabe von:
auf deinem PDC.

Dort muss bei Typ "NTP" stehen! Bei allen anderen Rechnern "NT5DS"


Im Übrigen wird es übersichtlicher, die Zeiteinstellungen per GPO festzulegen. Wenn Du dann noch die GPOs für die Domänencontroller mit einem WMI-Filter für bzw. gegen die PDC-Rolle versiehst, klappt es sogar beim FSMO-Rollenwechsel.

Grüße

lcer
Bitte warten ..
Mitglied: m8ichael
30.03.2021 um 14:20 Uhr
Habe mal ein die Debugging-Funktion von w32tm aktiviert:


Offenbar gibt es Probleme, den NTP-Host zu erreichen. Was mich insbesondere irritiert, ist die IP 0.0.0.0?! Ich bin allerdings ratlos, warum der PDC den Host nicht erreichen kann, denn laut Firewall ist alles offen und - lokal angemeldet - kann ich ohne Probleme z. B. einen Ping auf den NTP-Host absetzen.

Hat jemand einen Tipp?
Bitte warten ..
Mitglied: m8ichael
30.03.2021 um 14:23 Uhr
Hier die Konfiguration:


Grundsätzlich hatte ich auch die Konfiguration per Gruppenrichtlinie vorgenommen, da dies jedoch nicht funktionierte, jetzt mal testweise die reine lokale Definition.

Viele Grüße

Michael
Bitte warten ..
Mitglied: lcer00
30.03.2021 um 14:28 Uhr
Hallo,

Laut Protokoll versucht der Rechner der Reihe nach verschiedene NTP Server anzufragen. die 0.0.0.0 meint nur das Interface, von dem er das versucht (0.0.0.0 ) egal von welchem).

Wenn Du die Server mit ping erreichen kannst, musst Du sicherstellen, das Port 123 TCP und UDP frei sind.

Grüße

lcer
Bitte warten ..
Mitglied: m8ichael
30.03.2021 um 15:00 Uhr
Habe jetzt mal ein NTP-Tool zum manuellen Testen heruntergeladen (NTP Check). Das Tool funktioniert auf dem Server ohne Probleme und kann die aktuelle Zeit vom NTP-Host abfragen. Insofern scheint es grundsätzlich kein Verbindungsproblem zu sein...
Bitte warten ..
Mitglied: lcer00
30.03.2021 um 15:10 Uhr

Probier mal diesen Host direkt. Testet das Tool TCP und UDP?

Grüße

lcer
Bitte warten ..
Mitglied: m8ichael
30.03.2021 um 15:18 Uhr
Die konkrete Adresse (162.159.200.123) funktioniert. Parallel habe ich noch mal w32tm mit dem Schalter /stripchart bemüht und auch hier scheint es eine Verbindung zu geben:


Die +02... sind genau die Differenz zwischen der Echt- und Computerzeit. Insofern scheint die Verbindung zu stehen, aber w32tm funktioniert trotzdem nicht. Grrhh...
Bitte warten ..
Mitglied: Tektronix
30.03.2021 um 15:33 Uhr
Moin,
trage mal nur pool.ntp.org ein anstatt 0.de.pool.ntp.org 1.de.ntp.org.
Ich hatte neulich einen DC, an dem musste ich zusätzlich in der Registry alles einstellen, nur mit GPO wollte er immer lokal die Zeit holen.
Ich habe zusätzlich in der Registry bei TimeProvider VMICTimeProvider deaktiviert.
Das ist wenn ich mich nicht täusche der HyperV Zeitdienst.
Bitte warten ..
Mitglied: m8ichael
30.03.2021 um 16:07 Uhr
Hi,

Zitat von @Tektronix:
trage mal nur pool.ntp.org ein anstatt 0.de.pool.ntp.org 1.de.ntp.org.
Ich hatte neulich einen DC, an dem musste ich zusätzlich in der Registry alles einstellen, nur mit GPO wollte er immer lokal die Zeit holen.
Ich habe zusätzlich in der Registry bei TimeProvider VMICTimeProvider deaktiviert.

Führt hier leider auch nicht zum Ziel... :-( face-sad

Das ist wenn ich mich nicht täusche der HyperV Zeitdienst.

Ja, das ist richtig. Habe den deaktiviert, aber auch damit bekomme ich keine Zeitsynchronisation hin.
Bitte warten ..
Mitglied: Smileychen
30.03.2021 um 18:24 Uhr
Hi,

probier mal:

Bitte warten ..
Mitglied: GarfieldBonn
30.03.2021 um 21:36 Uhr
Nabend,

W32tm /resync

kann nicht schaden nach Änderung der Config

gruss
kh
Bitte warten ..
Mitglied: m8ichael
30.03.2021 um 22:44 Uhr
Hallo auch!

Zitat von @Smileychen:
probier mal:

Das funktioniert leider auch nicht. Hier ist irgendwie echt der Wurm drin. :-( face-sad
Bitte warten ..
Mitglied: GarfieldBonn
31.03.2021 um 12:10 Uhr
Sicherheitscheck auf NTP
reg query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\W32Time\Parameters
Erwartet wird
Type (REG_SZ)="NTP"

Ansonsten entspricht dies genau Deinen bisherigen Beschreibungen
https://social.technet.microsoft.com/Forums/de-DE/4ca08530-a892-47ae-b1c ...
Lösung im letzten Drittel:
in Umstellen des Zeitservers brachte aber zunächst auch keinen Erfolg.
Erst nach Aktualisierung der Integrationsdienste erlaubte das System ein Ändern des Zeitservers und syncte ordentlich.
Bitte warten ..
Mitglied: Vancouverona
LÖSUNG 31.03.2021, aktualisiert 01.04.2021
Mahlzeit.

bei uns läuft die Zeitsynchronisation seit 2017 - da gab es mal ziemlich üble Probleme, weil mehrere Server meinten, sie seien das Zeitnormal - gut nach der folgenden Methode:

Auf dem "PDC":

Und auf allen anderen Servern ein bisschen umständlicher, weil wir die alten Einträge loswerden mussten:


Die übermäßige Dokumentation ist der Tatsache geschuldet, dass das auch noch nach Jahren verstanden werden soll. Das letztere Script wird jedes Mal ausgeführt, wenn eine neue Vorlage für die vmWare erstellt wird.

Nachtrag:
Es gibt ein paar Switche von HP, die in den "Auto DOS settings" erfolgreich jegliche NTP Kommunikation unterdrücken.
Siehe:
https://louwrentius.com/hp-procurve-auto-dos-feature-causing-network-pro ...
https://administrator.de/forum/hp-procurve-switch-1810g-24-netbios-proto ...

Noch ein Nachtrag:
Hier wird erklärt, wie man das in einer Domäne per GPO erledigen kann.,
https://www.gruppenrichtlinien.de/artikel/zeitsynchronisation-der-domaen ...


Grüße aus dem Feld an der Kre
Bitte warten ..
Mitglied: m8ichael
02.04.2021 um 15:05 Uhr
You made my day!!

Zitat von @Vancouverona:
Nachtrag:
Es gibt ein paar Switche von HP, die in den "Auto DOS settings" erfolgreich jegliche NTP Kommunikation unterdrücken.
Siehe:
https://louwrentius.com/hp-procurve-auto-dos-feature-causing-network-pro ...
https://administrator.de/forum/hp-procurve-switch-1810g-24-netbios-proto ...

Dass es an einem Switch liegen könnte, hätte ich jetzt so gar nicht vermutet, aber genau dies war das Problem. Mann, mann, mann...

Vielen Dank!!
Bitte warten ..
Mitglied: aqui
02.04.2021, aktualisiert um 15:08 Uhr
Die gerechte Strafe wenn man HP Gurken betreibt die so einen Unsinn aktiviert haben... :-D face-big-smile
Bitte warten ..
Heiß diskutierte Inhalte
Netzwerkgrundlagen
Frage der anderen Art
NeuerleVor 1 TagFrageNetzwerkgrundlagen16 Kommentare

Hi an alle, Ich bin InformatikStudi. Habe Ende des Monats Klausur im Fach Netzwerke zu schreiben und komme gar nicht klar. Entweder ich bin ...

Ubuntu
Cups-Server mit SMB lehnt Verbindungen ab (smb.conf)?
ErikHeinemannVor 1 TagFrageUbuntu17 Kommentare

Guten Morgen, ich habe einen Ubuntu 20.04 Server mit Cups als Printspooler. Nun Soll noch Samba hinzugefügt werden für eine einfache Verwendung unter Windows. ...

Exchange Server
Kaspersky for Exchange Meldungen
gelöst wieoderwasVor 1 TagFrageExchange Server11 Kommentare

Guten Morgen, wir haben bei uns einen Exchange 2013 mit Kaspersky for Exchange und Sophos auf Dateiebene. Heute Morgen habe ich einige von diesen ...

Groupware
Lokale Mini-Groupware für Mail, Adressbuch und Kalender gesucht
AndreasKasselVor 1 TagFrageGroupware10 Kommentare

Hallo zusammen, ich habe insgesamt 2 PCs, 1 Notebook, 1 Android-Tablet und ein Android-Smartphone. Weiterhin habe ich 2 Mail-Adressen bei 1&1 mit einer eigenen ...

Grafikkarten & Monitore
Unerklärliche Aussetzer Bildschirm und Maus
nixwissenderVor 1 TagFrageGrafikkarten & Monitore10 Kommentare

hallo! wir haben aktuell das unerklärliche phänomen, dass sich am arbeitsplatz vom mitarbeiter eines der beiden bildschirme kurzzeitig ausschaltet (und zwar der, der per ...

CPU, RAM, Mainboards
CPU Lüfter ausbauen
gelöst ben1300Vor 1 TagFrageCPU, RAM, Mainboards9 Kommentare

Hallo zusammen, ich habe mir damals einen Fertig PC gekauft. Ich würde gerne den Arbeitsspeichern austauschen, allerdings muss ich dafür - so wie es ...

Backup
Backup Datei
gelöst KanrishaVor 1 TagFrageBackup5 Kommentare

Hallo Zusammen, ich habe eine Frage ich will eine Backup bat Datei schreiben habe jedoch ein kleines Problem. Ich möchte ein Laufwerk in das ...

DNS
Android 10 und mein DNS Server
gelöst CyborgWeaselVor 1 TagFrageDNS7 Kommentare

Hallo allesamt, ich spiele gerade etwas mit einer Synology herum, habe unter Anderem einen eigenen DNS jetzt aufgesetzt. Die lokale Domäne ist HomeDomain.local und ...