Как настроить службу времени в домене

Настройка времени в Windows 7 и Windows Server 2008 R2

Когда речь идет об устройствах или часах дома, точность не всегда обязательна. Вполне нормально, если часы немного спешат или отстают. Однако от сотовых телефонов и компьютеров мы сегодня ждем стопроцентной точности времени (и особенно даты) без сбоев (ну или, по крайней мере, я этого жду). Дело не в том, что это просто «хорошо», правильное время и дата на самом деле требуются для правильной работы функций инфраструктуры предприятий. Например, серверы и клиентские ПК, являющиеся участниками Windows Active Directory, должны иметь правильную дату и время, без наличия которой проверка подлинности не будет успешной.

У меня есть сервер, батарея материнской платы которого слабая. Если я отключаю питание, а потом снова включаю его, настройки времени и даты сбиваются. Сервер загружается и работает, однако я не могу подключиться к нему через RDP из-за значительной разницы во времени. Это происходит потому, что для проверки сертификатов безопасности дата на сервере и клиенте должна, по крайней мере, быть близкой по значению. А поскольку этот сервер является контроллером домена, эта проблема со временем может привести к тому, что весь AD домен не сможет аутентифицироваться.

Что нового в Windows 7 в области времени и даты?

Если говорить честно, настройки времени и даты в Windows Vista и Windows 7 очень похожи. Двойным нажатием на часах в панели задач вы вызываете диалог настройки времени и даты (Date and Time), где вы настраиваете дату, время, часовой пояс, дополнительные часы и время интернета.

Единственным различием, которое я смог найти, является напоминание о переводе часов. В Windows Vista стандартным значением была опция Напомнить мне за неделю до того, как это изменение произойдет (Remind me one week before this change occurs). С этим параметром вы получали уведомление за неделю до того, как часы «переводились вперед или назад».

Рисунок 1: Настройка даты и времени в Windows 7

Я не думаю, что уведомление за неделю очень полезно. Конечно, в течение недели вы забудете о переводе времени. В Microsoft сочли также, поскольку в Windows 7 они изменили этот параметр на опцию Напомнить мне о переводе часов во время перевода. Таким образом вы получите уведомление во время перевода часов. На мой взгляд, это лучше. Не думаю, что большинству из нас надо получать уведомление за неделю вперед.

Конечно, перевод времени в США изменился в 2009 и перевод часов по всему миру значительно различается. К счастью в Microsoft отслеживают эти различия для нас и вносят их на основе выбранного нами часового пояса в настройках Windows.

Windows 2008 – до и после DCPROMO

В Windows Server время и дата могут значительно отличаться, если вы используете сервер в качестве контроллера домена Active Directory Domain Controller (ADDC).

Настройки в типичном сервере Windows 2008 будут очень похожи, по умолчанию, на настройки в Windows 7, как показано на рисунке 1. Все те же закладки, включая Время интернета, рисунок 2 ниже.

Рисунок 2: Windows 2008 Server до DCPROMO

Однако, что произойдет, если сделать этот сервер Windows Server контроллером домена?

После того как вы выполнили DCPROMO, если вы вернетесь к настройке Дата и время, вы обнаружите, что закладка Время интернета отсутствует. Это показано на рисунке 3 ниже.

Рисунок 3: Windows 2008 Server после DCPROMO

С чем это связано? Когда сервер Windows становится контроллером домена, стандартное поведение получения даты и времени через NTP с time.windows.com по интернету исчезает. Сервер становится корневым сервером времени для всех компьютеров в домене с помощью Windows SNTP (простой сетевой протокол времени). Служба w32tm (и CLI команда) обеспечивает такое поведение и управляет им.

Как видно на рисунке, на этом сервере, который не является ADDC, служба Windows Time установлена в ручной режим и не запущена.

Рисунок 4: Windows Time не запущена на стандартом сервере

Однако на сервере Windows Server (рисунок 5) Windows Time сервер IS запущен и установлен в режиме Автоматически (Automatic), поскольку это контроллер домена Active Directory.

Рисунок 5: Windows Time работает на контроллере домена

Настройка контроллера домена на использование NTP

По умолчанию на контроллере домена внутренние BIOS часы сервера являются источником даты и времени для всей инфраструктуры. Однако как узнать, что эти настройки верны?

На мой взгляд, контроллер домена должен использовать NTP для выхода в интернет и синхронизации своего времени и даты с авторизированными серверами NTP. К сожалению, для этого нужно использовать редактор системного реестра Windows и изменить 6 записей реестра. Я считаю, что должен быть простой способ настройки этих параметров с помощью графического интерфейса, однако на сегодняшний день это можно сделать только с помощью изменения системного реестра.

К счастью, есть пара хороших статей, которые предоставят вам пошаговое руководство по этим настройкам:

Настройка контроллера домена

Для синхронизации времени с контроллером домена на сервере, выполняющем роль эмулятора PDC, с использованием командной строки должны быть выполнены следующие действия:

1. Проверьте, что контроллер домена, на котором вы работаете, является эмулятором PDC, выполнив команду

netdom query fsmo

2. На сервере-эмуляторе PDC запустите следующие команды синхронизации времени в указанном порядке:

net stop w32time

w32tm /configure /syncfromflags:manual /manualpeerlist:»,0×1 , 0×1 , 0×1 , 0×1″

Внешним источником времени по умолчанию для Windows Server является сервер Наилучшим вариантом является синхронизация с несколькими серверами времени. В приведенной выше команде мы используем серверы времени, поддерживаемые NTP Pool Project.

net start w32time

w32tm /configure /reliable:yes /update

3. Если в Active Directory имеется несколько контроллеров домена, выполните в командной строке следующую команду:

w32tm /config /syncfromflags:domhier /update

4. Проверьте правильность настроек времени на сервере-эмуляторе PDC:

w32tm /query /status:

5. Проверьте правильность настройки времени на всех остальных контроллерах домена:

w32tm /query /status:

Настройка FreeBSD на синхронизацию времени с сервером NTP Mobatime

Настройка выполняется под рутовой учётной записью.
Для однократной синхронизации можно воспользоваться

ntpdate сервер_NTP_mobatime

Для синхронизации при каждой загрузке FreeBSD пропишите в rc.conf следующее

ntpdate_enable=»YES»

ntpdate_flags=сервер_NTP_mobatime

Этот способ хорошо подходит для машин, которые достаточно часто перезагружаются. Более правильным видится настройка демона ntpd.

Создайте (если не существует) файл /etc/ntp.conf Включите в него следующую строку

server сервер_NTP_mobatime prefer

Аргумент prefer указывает на предпочтение этого сервера перед остальными, т.к. Мобатайм Системс предоставляет Вам доступ к Time Server — серверу NTP, а не к компьютеру с работающим демоном ntpd.

На следующем этапе настройки нужно прописать в rc.conf

ntpd_enable=»YES»

Теперь FreeBSD будет постоянно сверять свои часы с NTP сервером Mobatime.

Настройка службы времени (NTP) в Windows 2003 / 2008 / 2008 R2

Настройка службы времени (NTP) в Windows 2003 / 2008 / 2008 R2
Путь: It > Windows > Настройка службы времени (NTP) в Windows 2003 / 2008 / 2008 R2

Служба времени Windows, несмотря на кажущуюся простоту является основой нормального функционирования AD.

Итак, в нормально настроенной среде служба времени функционирует так: пользователи получают точное время от ближайшего контроллера домена, на котором они зарегистрировались, все доменные контроллеры запрашивают об этом DC с ролью FSMO «Эмулятор PDC», а тот, в свою очередь, синхронизируется с внешним источником времени. Внешним источником как правило выступает один или несколько NTP-сервера институтов времени, например time.windows.com или NTP-сервер вашего провайдера.

Если у вас рассинхронизация контроллеров домена между собой и жалобы пользователей на то, что наше время отличается от точного, то вам сюда.

Настройка вашего доменного контроллера с ролью «Эмулятора PDC» на синхронизацию с внешним источником:

находим все DC и того, кто из них PDC эмулятор

netdom query fsmo

на PDC делаем следующее

w32tm /stripchart /computer:time.windows.com /samples:5 /dataonly

которая произведет 5 сравнений с источником, а затем

w32tm /config /manualpeerlist:time.windows.com /syncfromflags:manual /reliable:yes /update

которая непосредственно выполнит настройку.

Можно указать сразу несколько серверов, в этом случае необходимо раздели имена серверов пробелом и всех их заключит в ковычки: /manualpeerlist:»time.windows.com clock0.macomnet.ru»

. внимание, связь с источником осуществляется по протоколу NTP – 123 порт UDP.

Все эти изменения аналогичнв следующим значениям в реестре
#HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParametersNtpServer Там должен быть записан ip адрес или полной имя нашего ntp сервера и запись должна обязательно заканчиваться строкой “,0?1”. Кавычки, понятное дело, нужно убрать. Кстати, к этому суффиксу я вернусь позже. Для уверенности в том, что тут нету ошибки, неплохо бы попингать скопированный оттуда адрес или имя.
#HKLMSYSTEMCurrentControlSetServicesW32TimeParametersType убедиться, что там прописано NTP, а неNT5DS
#HKLMSYSTEMCurrentControlSetServicesW32TimeConfigAnnounceFlags тут должна быть 5
Если Вы перенесли роль PDC Emulator на другой сервер, необходимо дополнительно выполнить настройку старого сервера командой w32tm /config /syncfromflags:domhier /reliable:no /update и перезапустить службу времени —

net stop w32time
net start w32time

На остальных контроллерах домена рекомендуется сделать

w32tm /unregister
w32tm /register

Эта операция удаляет службу времени, а затем снова ее устанавливает, причем, что важно, удаляется, а затем создается заново вся ветка параметров в реестре.

Очень рекомендуется перезапустить контроллер домена, являющийся pdc эмулятором, да и все остальные тоже.

Если проблемы всё равно возникают, то стоит попробовать заменить значение 0х01 на 0х08 в параметре
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParametersNtpServer
чтобы стали посылаться стандартные клиентские запросы.

Перезапускаем сервис времени net stop w32time && net start w32time

Очень рекомендуется проверить все политики, имеющие отношение к настройкам сервиса времени, а именно:

Default Domain Controllers group policy
Default Domain group policy

ну и все другие, которые имеют отношение к домен контроллерам, серверам и рабочим станциям и в которых изменены любые значения в разделе
Computer configuration/Administrative Templates /System/Windows Time service/Time Providers

Убедитесь, что все значения там в состоянии “not configured”. При необходимости, играть с параметрами следует позже.

В особо тяжелых случаях может помочь включение лога для сервиса. Для настройки этого используются три параметра в реестре по пути
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfig

Если нижеприведенных ключей там нету, а их нету по умолчанию, то их следует создать
Value Name: FileLogSize
Data Type: DWORD
Value data: 10000000

Этот параметр определяет максимальный размер файла лога в байтах. Значение 10000000 байт ограничит файл приблизительно в 10 Mb.
Value name: FileLogName
Data Type: REG_SZ (String)
Value data: C:Testw32time_log.txt

Этот параметр определяет место и имя файла лога.
Value name: FileLogEntries
Data Type: REG_SZ (String)
Value: 0-116

Этот параметр определяет уровень детализации лога. Диапазон значений параметра 0-116. (Если ввести туда 0-300, то уровень детализации станет максимальным)

Вместо изменения значений в реестре, можно то же самое сделать из командной строки w32tm /debug /enable /file:C:Testw32time_log.txt /size:100000 /entries:0-300

Чтобы выключить логи отладки можно ввести команду w32tm /debug /disable

Несколько самых известных источников времени:
1. ntp2.usno.navy.mil
2. pool.ntp.org
3. clock0.macomnet.ru

Проверить что со временем все в порядке можно так:

Службы

Синхронизация через интернет может не работать, если отключен сервис «Служба времени Windows». Для проверки и запуска службы выполните следующие шаги.

1. Откройте окно управления сервисами операционной системы. Для этого зажмите клавиши Win + R и выполните команду « services.msc » в открывшемся окне.

2. Откройте свойства записи «Служба времени Windows» через контекстное меню, двойным кликом или сочетанием клавиш Alt + Enter.

3. В выпадающем списке «Тип запуска» выберите «Вручную».

Можно указать и «Автоматически», но тогда сервис будет запускаться при каждой загрузке операционной системы, а при варианте «Вручную» — только когда Windows 10 обратится к нему.

4. Кликните «Запустить» и жмите «OK».

Настройка синхронизация времени

Для начало надо убедится, что наш контроллер домена имеет роль PDC. Запускаем командную строку и вводим

Следующим этапом необходимо остановить службу времени

Задаем внешние источники времени

Делаем PDC сервер надежным источником времени для клиентов

И запускаем службу времени

На всякий случай проверяем конфигурацию, в ней должны прописаться источники

Для правильного функционирования доменной среды Windows Server 2008 R2/2012 R2, является корректная работа службы времени Windows (W32Time).

Схема работы синхронизации времени в доменной среде Active Directory:

• Контроллер корневого домена в лесу AD, которому принадлежит FSMО-роль PDC-эмулятора, синхронизируется с внешними источниками точного времени. Он же является источником времени для всех остальных контроллеров этого домена.
• Контроллеры дочерних доменов в AD, синхронизируют время с вышестоящих контроллеров домена AD.
• Рядовые члены домена (сервера и рабочие станции) синхронизируют свое время с ближайшим к ним доступным контроллером домена, соблюдая топологию AD.

Служба времени в Windows (W32Time) не имеет графического интерфейса и настраивается из командной строки (утилита w32tm), с помощью реестра (HKLMSystemCurrentControlSetServicesW32TimeParameters) и посредством Групповой политики (Group Policy Managment)

Включение NTP-сервера

NTP-сервер по-умолчанию включен на всех контроллерах домена, но его можно включить и на рядовых серверах:

Конфигурация NTP-сервера

Задаем тип синхронизации внутренних часов, на использование внешнего источника. (Командная строка/Реестр):

• w32tm /config /syncfromflags:manual
• [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParameters] — «Type»=NTP

NoSync — NTP-сервер не синхронизируется с каким либо внешним источником времени. Используются системные часы, встроенные в микросхему CMOS самого сервера.
NTP — NTP-сервер синхронизируется с внешними серверами времени, которые указаны в параметре реестра NtpServer.
NT5DS — NTP-сервер производит синхронизацию согласно доменной иерархии.
AllSync — NTP-сервер использует для синхронизации все доступные источники.

Задание списка внешних источников для синхронизации, с которыми будет синхронизировать время данный сервер. По-умолчанию в этом параметре прописан NTP-сервер Microsoft (time.windows.com, 0×1). (Командная строка/Реестр):

• w32tm /config /manualpeerlist:»0.ru.pool.ntp.org,0x1 1.ru.pool.ntp.org,0x1 2.ru.pool.ntp.org,0x1″
• [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParameters] — «NtpServer»=0.ru.pool.ntp.org,0x1 1.ru.pool.ntp.org,0x1 2.ru.pool.ntp.org,0x1

0×1 – SpecialInterval, использование временного интервала опроса.
0×2 – режим UseAsFallbackOnly.
0×4 – SymmetricActive, симметричный активный режим.
0×8 – Client, отправка запроса в клиентском режиме.

Задание интервала синхронизации с внешним источником (для источников помеченных флагом 0×1). По-умолчанию время опроса задано — 3600 сек. (1 час). (Командная строка/Реестр):

• [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProv >

Объявление NTP-сервера в качестве надежного. (Командная строка/Реестр):

• w32tm /config /reliable:yes
• [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfig] — «AnnounceFlags»=0000000a

После настройки необходимо обновить конфигурацию сервиса. Выполняем команду:

Отобразить текущую конфигурацию службы времени:

• w32tm /query /configuration

Получения информации о текущем сервере времени:

Отображение текущих источников синхронизации и их статуса:

Отображение состояния синхронизации контроллеров домена с компьютерами в домене:

• w32tm /monitor /computers:192.168.1.2

Отобразить разницу во времени между текущим и удаленным компьютером:

• w32tm /stripchart /computer:192.168.1.2 /samples:5 /dataonly

Удалить службу времени с компьютера:

Регистрация службы времени на компьютере. Создается заново вся ветка параметров в реестре:

Остановка службы времени:

Запуск службы времени:

net start w32time

Конфигурация NTP-сервера/клиента групповой политикой

Для централизованной настройки службы времени Windows, на серверах и рабочих станциях в доменной среде Active Directory, воспользуемся групповой политикой. На примере, выполним настройку для рабочих станций.

Переходим в ветку: Конфигурация компьютера (Computer Configuration) — Политики (Policies) — Административные шаблоны (Administrative Templates) — Система (System) — Служба времени Windows (Windows Time Service) — Поставщики времени (Time Providers).

Открываем параметр: Настроить NTP-клиент Windows (Configure Windows NTP Client)

• NtpServer — 192.168.1.2 (Адрес контроллера домена с ролью PDC)
• Type — NT5DS
• CrossSiteSyncFlags — 2
• ResolvePeerBackoffMinutes —15
• Resolve Peer BackoffMaxTimes — 7
• SpecilalPoolInterval — 3600
• EventLogFlags — 0

Настройка устройства TING.¶

1. Настройка имени устройства и DNS¶

Пройдите в раздел Система -> Настройки -> Общие настройки

Проверьте, чтоб следующие системные настройки были выполнены корректно:

В случае, если вы не используете встроенный сервер DNS, такой как Unbound DNS, вам необходимо:

Установить флаг Не используйте локальную службу DNS в качестве сервера имен для этой системы

В поле DNS-серверы прописать IP адрес контроллера домена ( 192.168.1.3 )

В случае, если вы используете встроенный сервер DNS, такой как Unbound DNS, вам необходимо согласно документации настроить переадресацию либо всех запросов DNS, либо только прямой и обратной зоны созданного вами домена.

2. Настройка сетевого времени¶

Перейдите в раздел Службы -> Сетевое время -> Общие.

В поле Серверы времени укажите имя контроллера домена dc.ztest.int либо IP адрес контроллера домена 192.168.1.3 .

Время на контроллере домена и устройстве TING должно быть синхронизированно.

3. Настройка LDAP коннектора¶

Пройдите в раздел Система -> Доступ -> Серверы, в правом верхнем углу нажмите на кнопку Добавить сервер и задайте следующие настройки:

Имя хоста или IP-адрес

Привязать параметры доступа

Контейнеры для аутентификации

Атрибут присвоения имени пользователю

имя и пароль учетной записи, созданной при настроке домена для создания LDAP коннектора.

выберите контейнеры, в которых находятся учетные записи пользователей.

4. Проверка LDAP коннектора¶

Пройдите в раздел Система -> Доступ -> Средство проверки

Выберите в списке созданный нами сервер, введите имя и пароль учетной записи домена.

Результатом должно быть сообщение об успешной проверке:

5. Настройки веб-прокси¶

В разделе Службы -> Веб-прокси -> Администрирование, на вкладке Основные настройки прокси, установите флаг Включить прокси, если он еще не установлен.

В разделе Службы -> Веб-прокси -> Администрирование, на вкладке Перенаправляющий прокси -> Настройка Аутентификации, в поле Метод аутентификации укажите ваш настроенный LDAP-коннектор.

В разделе Службы -> Веб-прокси -> Администрирование, на вкладке Перенаправляющий прокси, в меню Основные настройки перенаправления снимите флаг Включить прозрачный HTTP-прокси, если он установлен.

Использование механизма прозрачного HTTP-проксирования не совместимо ни с одним методом аутентификации. Чтобы использовать аутенитификацию Kerberos, данный механизм должен быть выключен.

6. Установка плагина os-proxy-sso¶

Пройдите в раздел Система -> Прошивка -> Обновления. На вкладке Плагины нажмите на кнопку + напротив плагина os-proxy-sso для его установки.

После установки плагина os-proxy-sso, в разделе Службы -> Веб-прокси появляется подраздел Технология единого входа (SSO).

7. Автоматическая настройка аутентификации по протоколу Kerberos¶

7.1 Включите Single Sign On

В разделе Службы -> Веб-прокси -> Технология единого входа (SSO), на вкладке Общие настройки, установите флаг Включить единый вход для прокси-сервера.

При необходимости вы можете включить/выключить использование Basic аутентификации, установив/сняв соответствующий флажок Basic Autentification 3

Данная схема аутентификации (Basic) используется для аутентификации пользователей, чьи компьютеры не являются членами домена путем ввода пароля в сплывающем окне браузера.

Если вы отключите Basic аутентификацию, то пользователи, чьи компьютеры не входят в домен, не будут обслуживаться прокси-сервером.

В поле Реализация AD Kerberos выберите значение Windows 2008 with AES.

При нажатии на кнопку Применить будут произведены следующие действия:

происходит автогенерация конфигурационного файла krb5.conf для библиотеки Kerberos

модифицируется конфигурационный файл Squid /usr/local/sbin/squid.conf для загрузки хелпера Kerberos-аутентификации negotiate_kerberos_auth

производится перезапуск веб-прокси сервера Squid

7.2 Настройте аутентификацию по протоколу Kerberos

Перейдите в раздел Службы -> Веб-прокси -> Технология единого входа (SSO) -> Аутентификация по протоколу Kerberos и нажмите кнопку Обновить

Все пункты, кроме Файл keytab должны быть отмечены зеленым.

Если это не так — перепроверьте все шаги.

Создайте учетную запись компьютера с необходимыми SPN в Active Directory:

В поле Имя администратора AD, укажите имя учетной записи администратора домена.

В поле Пароль администратора AD, укажите пароль для учетной записи администратора домена.

Нажмите на кнопку Создать keytab-файл.

В поле Результат выводится информация об осуществляемых действиях:

создается учетная запись компьютера с именем, указанным на закладке Общие

прописываются необходимые SPN-имена

генерируется keytab-файл /usr/local/etc/squid/squid.keytab на устройстве TING c SPN-именами / ключами для керберизированной службы

Нажмите кнопку Обновить.

Все пункты должны быть отмечены зеленым.

Если это не так — перепроверьте все шаги.

Нажмите кнопку Показать keytab-файл

Результат должен быть такой:

7.3 Проверьте правильность настроек.

Для этого введите Имя пользователя и Пароль пользователя домена в соответствующие поля и нажмите Проверить вход через Kerberos

В случае, если все настройки были сделаны верно, вы увидите положительный результат проверки, подобный, как на изображении выше.

7.4 Примените настройки.

Для этого либо в разделе Службы -> Веб-прокси -> Технология единого входа (SSO), на вкладке Общие настройки, либо в разделе Службы->Веб-прокси->Администрирование нажмите кнопку Применить

8. Ручная настройка аутентификации в Active Directory через Kerberos¶

Иногда возникает ситуация, когда по определенным причинам у вас нет доступа к учетной записи администратора домена (к примеру, политики безопасности предприятия).

В таком случае вам необходимо на контроллере домена создать keytab файл, перенести его на устройство TING и выпонить конфигурацию устройства.

Для ручной настройки аутентификации в Active Directory через Kerberos вам необходимо выполнить все шаги по настройке устройства TING , описанные выше, вплоть до создания учетной записи компьютера в каталоге Active Directory

После чего выполнить следующие шаги:

8.1. Пройдите в раздел Службы -> Веб-прокси -> Технология единого входа (SSO), на вкладку Аутентификация по протоколу Kerberos, нажмите кнопку Обновить — и убедитесь, что все пункты, за исключением Файл keytab отмечены зеленым. Если это не так, то необходимо проверить настройки.

8.2. Создайте в домене учетную запись компьютера с именем, совпадающим в поле Kerberos-аккаунт этой машины в AD на вкладке Службы -> Веб-прокси -> Технология единого входа (SSO) -> Общие настройки

Использование учетной записи компьютера предпочтительнее, так-как на учетную запись пользователя групповой политикой может накладываться ограничение на время действия пароля.

8.3. На контроллере домена добавьте SPN HTTP к учетной записи созданного компьютера (в нашем случае TING ) и одновременно экспортируйте keytab-файл.

Будьте внимательны, регистр имеет значение.