NET TIME — синхронизация времени компьютера
NET TIME синхронизирует показания часов компьютера с другим компьютером или доменом. Если используется без параметров в домене Windows Server, выводит текущую дату и время дня, установленные на компьютере, который назначен сервером времени для данного домена. Эта команда позволяет задать сервер времени NTP для компьютера.
Видео: NET TIME — как синхронизировать время с сервером в Windows
Синтаксис команды NET TIME
- net time [{\имя_компьютера | /domain[:имя_домена] | /rtsdomain[:имя_домена]}] [/set]
- net time [\имя_компьютера] [/querysntp]
- net time [\имя_компьютера] [/setsntp[:список_серверов_NTP]], где
- \имя_компьютера — указывает имя сервера, время на котором нужно проверить или с которым нужно синхронизировать таймер.
- /domain[:имя_домена] — задает имя домена, с которым синхронизируются часы.
- /rtsdomain[:имя_домена] — указывает домен сервера надежного времени (RTS), с которым будут синхронизироваться часы.
- /set — синхронизирует часы с временем указанного компьютера или домена.
- /querysntp — выводит имя сервера NTP (Network Time Protocol), сконфигурированного для локального компьютера, или компьютера, указанного в параметре \имя_компьютера.
- /setsntp[:список_серверов_NTP] — указывает список серверов времени NTP для использования на локальном компьютере.
Примеры команды NET TIME
- net help time — отображение справки для указанной команды net;
- net time \PC1— вывод на экран текущего времение сервера в сети для компьютера PC1;
- net time /querysntp — отображение на экране имени сервера NTP для локальнго компьютера;
- net time \Proton /set — синхронизация часов локального компьютера с временем компьютера Proton.
Net time системные ошибки в ходе выполнения
Системная ошибка 5. Отказано в доступе
Часто спрашивают, почему появляется «Системная ошибка 5. Отказано в доступе» при использовании команды Net time. Отвечаю, все в правах пользователя под которым запускается команда. В качестве примера пробовал запустить команду сначала с правами локального администратора на Windows 10 — получил ошибку, далее запустил с правами администратора домена — результат на рисунке ниже.
Системная ошибка 1314. Клиент не обладает требуемыми правами
Вам нужно зайти в «редактор локальной политики безопасности». Открываем «Выполнить» Win+R. Ввести — «secpool».
Локальные политики-Параметры безопасности-Контроль учетный записей: Все администраторы работают в режиме одобрения администратором-Отключить-ОК-Перезагрузить компьютер/ноутбук.
Далее запустил с правами администратора домена, команда успешно выполнилась.
В Windows есть отличное средство управления синхронизацией времени — w32tm. Управление которым осуществляется как через cmd, так и через реестр и даже групповые политики в домене Windows.
В этой статье — мы рассмотрим только первый вариант.
Основные команды конфигурации w32tm
- w32tm /register — Регистрация и включение службы со стандартными параметрами.
- w32tm /unregister — Отключение службы и удаление параметров конфигурации.
- w32tm /monitor — Просмотр информации по домену.
- w32tm /resync — Команда принудительной синхронизации с заданным в конфигурации источником.
- w32tm /config /update — Применить и сохранить конфигурацию.
- w32tm /config /syncfromflags:domhier /update – Задаем настройку синхронизации с контроллером домена.
- w32tm /config /syncfromflags:manual /manualpeerlist:time.windows.com – задать конкретные источники синхронизации времени по протоколу NTP.
Просмотр параметров (/query)
- w32tm /query /computer:<target> — Информация о стутусе синхронизации определенной станции (если имя не указано — используется локальный компьютер).
- w32tm /query /Source – Показать источник времени.
- w32tm /query /Configuration — Вывод всех настроек службы времени Windows.
- w32tm /query /Peers – Показать источники времени и их состояние.
- w32tm /query /Status – Статус службы времени.
- w32tm /query /Verbose – Подробный вывод всей информации о работе службы.
Синхронизация через Net time
Так же можно воспользоватся вспомогательной службой net time для синхронизации времени.
- net time /setsntp:time.itmake.org — Задаем источник синхронизации.
- net time /querysntp — просмотр информации о заданном источнике времени.
- net time \server.lan.local /set /y – Принудительная синхронизация с указанного источника.
I am working on windows 7. I can sync time of win7 from a ntp linux server manually. How can I do that in command prompt. So I can run it on windows startup. And windows task plan not work for me. The time should be like this:
Linux server --> windows 7.
Any one knows that? Thank you. I can read msdn.
asked Apr 4, 2014 at 12:00
Use net time
net time \timesrv /set /yes
after your comment try this one in evelated prompt :
w32tm /config /update /manualpeerlist:yourtimerserver
answered Apr 4, 2014 at 12:12
Loïc MICHELLoïc MICHEL
24.5k9 gold badges73 silver badges102 bronze badges
10
If you just need to resync windows time, open an elevated command prompt and type:
w32tm /resync
C:WINDOWSsystem32>w32tm /resync
Sending resync command to local computer
The command completed successfully.
answered Dec 2, 2016 at 0:18
Pedro LobitoPedro Lobito
91.1k30 gold badges244 silver badges263 bronze badges
0
While the w32tm /resync in theory does the job, it only does so under certain conditions. When «down to the millisecond» matters, however, I found that Windows wouldn’t actually make the adjustment; as if «oh, I’m off by 2.5 seconds, close enough bro, nothing to see or do here».
In order to truly force the resync (Windows 7):
- Control Panel -> Date and Time
- «Change date and time…» (requires Admin privileges)
- Add or Subtract a few minutes (I used -5 minutes)
- Run «cmd.exe» as administrator
w32tm /resync- Visually check that the seconds in the «Date and Time» control panel are ticking at the same time as your authoritative clock(s). (I used
watch -n 0.1 dateon a Linux machine on the network that I had SSH’d over into)
— Rapid Method —
- Run «cmd.exe» as administrator
net start w32time(Time Service must be running)time 8(where 8 may be replaced by any ‘hour’ value, presumably 0-23)w32tm /resync- Jump to 3, as needed.
answered Jun 3, 2018 at 18:18
starlockestarlocke
3,2071 gold badge26 silver badges36 bronze badges
Обновлено 12.11.2019
Добрый день уважаемые читатели и гости блога pyatilistnik.org, как много люди говорят о времени, что оно быстро или медленно бежит, и все понимают, что оно бесценно и важно. Так и в инфраструктуре Active Directory, она является одним из важнейших факторов, правильного функционирования домена. В домене все друг другу доверяют, и один раз авторизовавшись и получив все тикеты от Kerberos, пользователь ходит куда угодно, ограничиваясь лишь своими доступными правами. Так вот если у вас не будет точного времени на ваших рабочих станциях к контроллеру домена, то можете считать, что у вас начинаются серьезные проблемы, о которых мы поговорим ниже и рассмотрим как их устранить с помощью настройки NTP сервера в Windows.
Синхронизация времени в Active Directory
Среди компьютеров, участвующих в Active Directory работает следующая схема синхронизация времени.
- Контроллер корневого домена в лесу AD, которому принадлежит FSMО-роль эмулятора PDC (назовем его корневым PDC), является источником времени для всех остальных контроллеров этого домена.
- Контроллеры дочерних доменов синхронизируют время с вышестоящих по топологии AD контроллеров домена.
- Рядовые члены домена (сервера и рабочие станции) синхронизируют свое время с ближайшим к ним доступным контроллером домена, соблюдая топологию AD.
Корневой PDC может синхронизировать свое время как со внешним источником, так и с самим собой, последнее задано конфигурацией по умолчанию и является абсурдом, о чем периодически намекают ошибки в системном журнале.
Синхронизация клиентов корневого PDC может осуществятся как с его внутренних часов, так и с внешнего источника. В первом случае сервер времени корневого PDC объявляет себя как «надежный» (reliable).
Далее я приведу оптимальную с моей точки зрения конфигурацию сервера времени корневого PDC, при которой сам корневой PDC периодически синхронизирует свое время от достоверного источника в интернете, а время обращающихся к нему клиентов синхронизирует со своими внутренними часами.
Для того, чтобы понять кто у вас в сети является NTP сервером из контроллеров домена, прочитайте вот эту статью, многие вопросы отпадут сами собой
Вводим netdom query fsmo. В моем примере, роль PDC и NTP сервера, принадлежит контроллеру dc7
Конфигурация NTP-сервера на корневом PDC
Конфигурирование сервера времени в Windows (NTP-сервера) может осуществляться как с помощью утилиты командной строки w32tm, так и через реестр. Где возможно, я приведу оба варианта. Но в начале посмотрите полностью ваши настройки на компьютере, делается это командой:
w32tm /query /configuration
EventLogFlags: 2 (Локально)
AnnounceFlags: 10 (Локально)
TimeJumpAuditOffset: 28800 (Локально)
MinPollInterval: 6 (Локально)
MaxPollInterval: 10 (Локально)
MaxNegPhaseCorrection: 172800 (Локально)
MaxPosPhaseCorrection: 172800 (Локально)
MaxAllowedPhaseOffset: 300 (Локально)FrequencyCorrectRate: 4 (Локально)
PollAdjustFactor: 5 (Локально)
LargePhaseOffset: 50000000 (Локально)
SpikeWatchPeriod: 900 (Локально)
LocalClockDispersion: 10 (Локально)
HoldPeriod: 5 (Локально)
PhaseCorrectRate: 7 (Локально)
UpdateInterval: 100 (Локально)[TimeProviders]
NtpClient (Локально)
DllName: C:Windowssystem32w32time.dll (Локально)
Enabled: 1 (Локально)
InputProvider: 1 (Локально)
CrossSiteSyncFlags: 2 (Локально)
AllowNonstandardModeCombinations: 1 (Локально)
ResolvePeerBackoffMinutes: 15 (Локально)
ResolvePeerBackoffMaxTimes: 7 (Локально)
CompatibilityFlags: 2147483648 (Локально)
EventLogFlags: 1 (Локально)
LargeSampleSkew: 3 (Локально)
SpecialPollInterval: 3600 (Локально)
Type: NT5DS (Локально)NtpServer (Локально)
DllName: C:Windowssystem32w32time.dll (Локально)
Enabled: 1 (Локально)
InputProvider: 0 (Локально)
AllowNonstandardModeCombinations: 1 (Локально)VMICTimeProvider (Локально)
DllName: C:WindowsSystem32vmictimeprovider.dll (Локально)
Enabled: 1 (Локально)
InputProvider: 1 (Локально)
Включение синхронизации внутренних часов с внешним источником
Объявление NTP-сервера в качестве надежного
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfig]
"AnnounceFlags"=dword:0000000a
w32tm /config /reliable:yes
Включение NTP-сервера
NTP-сервер по умолчанию включен на всех контроллерах домена, однако его можно включить и на рядовых серверах.
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProvidersNtpServer]
"Enabled"=dword:00000001
Задание списка внешних источников для синхронизации
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParameters]
"NtpServer"="time.nist.gov,0x8 ntp1.imvp.ru,0x8 ntp2.imvp.ru,0x8 time.windows.com,0x8 ru.pool.ntp.org,0x8"w32tm /config /manualpeerlist:"time.nist.gov,0x8 ntp1.imvp.ru,0x8 ntp2.imvp.ru,0x8 time.windows.com,0x8 ru.pool.ntp.org,0x8"
Флаг 0×8 на конце означает, что синхронизация должна происходить в режиме клиента NTP, через предложенные этим сервером интервалы времени. Для того, чтобы задать свой интервал синхронизации, необходимо использовать флаг 0×1.
Задание интервала синхронизации с внешним источником
Время в секундах между опросами источника синхронизации, по умолчанию 900с = 15мин. Работает только для источников, помеченных флагом 0×1.
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProvidersNtpClient]
"SpecialPollInterval"=dword:00000384
Установка минимальной положительной и отрицательной коррекции
Максимальная положительная и отрицательная коррекция времени (разница между внутренними часами и источником синхронизации) в секундах, при превышении которой синхронизация не происходит. Рекомендую значение 0xFFFFFFFF, при котором коррекция сможет производиться всегда.
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfig]
"MaxPosPhaseCorrection"=dword:FFFFFFFF
"MaxNegPhaseCorrection"=dword:FFFFFFFF
Все необходимое одной строкой
w32tm.exe /config /manualpeerlist:"time.nist.gov,0x8 ntp1.imvp.ru,0x8 ntp2.imvp.ru,0x8 time.windows.com,0x8 pool.ntp.org,0x8" /syncfromflags:manual /reliable:yes /update
Полезные команды
- Применение внесенных в конфигурацию службы времени изменений
w32tm /config /update - Принудительная синхронизация от источника
w32tm /resync /rediscover - Отображение состояния синхронизации контроллеров домена в домене
w32tm /monitor - Отображение текущих источников синхронизации и их статуса
w32tm /query /peers
Настройка NTP сервера и клиента групповой политикой
Раз уж у нас с вами домен Active Directory, то глупо не использовать групповые политики, для массовой настройки серверов и рабочих станций, я покажу как настроить ваш NTP сервер в windows и клиента. Открываем оснастку «Редактор групповых политик». Перед тем как настроить наш NTP сервер в Windows, нам необходимо создать WMI фильтр, который будет применять политику, только к серверу мастера PDC.
Вводим имя запроса, пространство имен, будет иметь значение «rootCIMv2» и запрос «Select * from Win32_ComputerSystem where DomainRole = 5». Сохраняем его.
Затем вы создаете политику на контейнере Domain Controllers.
В самом низу политики применяете ваш созданный WMI фильтр.
Переходим в ветку: Конфигурация компьютера > Политики > Административные шаблоны > Система > Служба времени Windows > Поставщики времени.
Тут открываем политику «Настроить NTP-клиент Windows». Задаем параметры
- NtpServer: 0.ru.pool.ntp.org,0x1 1.ru.pool.ntp.org,0x1 2.ru.pool.ntp.org,0x1 3.ru.pool.ntp.org,0x1
- Type: NTP
- CrossSiteSyncFlags: 2. Двойка означает, если этот параметр равен 2 (Все), можно использовать любого участника синхронизации. Это значение игнорируется, если не задано значение NT5DS. Значение по умолчанию: 2 (десятичное) (0x02 (шестнадцатеричное))
- ResolvePeerBackoffMinutes: 15. Это значение, выраженное в минутах, определяет интервал ожидания службы W32time перед попыткой разрешения DNS-имени в случае неудачи. Значение по умолчанию: 15 минут
- Resolve Peer BAckoffMaxTimes: 7. Это значение определяет число попыток разрешения DNS-имени, предпринимаемых службой W32time перед перезапуском процесса обнаружения. При каждом неудачном разрешении DNS-имени интервал ожидания перед следующей попыткой удваивается. Значение по умолчанию: семь попыток.
- SpecilalPoolInterval: 3600. Это значение параметра NTP-клиента, выраженное в секундах, определяет частоту опроса настроенного вручную источника времени, который использует особый интервал опроса. Если для параметра NTPServer установлен флаг SpecialInterval, клиент использует значение, заданное как SpecialPollInterval, вместо значений MinPollInterval и MaxPollInterval, чтобы определить частоту опроса источника времени. Значение по умолчанию: 3600 секунд (1 час).
- EventLogFlags: 0
Делаем отдельную групповую политику для клиентских рабочих машин, вот с такими параметрами.
- NtpServer: Адрес вашего контроллера домена с ролью PDC.
- Type: NT5DS
- CrossSiteSyncFlags: 2
- ResolvePeerBackoffMinutes: 15
- Resolve Peer BAckoffMaxTimes: 7
- SpecilalPoolInterval: 3600
- EventLogFlags: 0
Далее идем на клиента и обновляем групповые политики gpupdate /force и вводим команду w32tm /query /status
Особенности виртуализированных контроллеров домена
Контроллеры домена, работающие в виртуализированной среде, требуют к себе особенного отношения.
- Средства синхронизации времени виртуальной машины и хостовой ОС должны быть выключены. Во всех адекватных системах виртуализации (Microsoft, vmWare и т. д.) присутствуют компоненты интеграции гостевой ОС с хостовой, которые значительно повышают производительность и управляемость гостевой системой. Среди этих компонентов всегда есть средство синхронизации времени гостевой ОС с хостовой, которое очень полезно для рядовых машин, но противопоказано для контроллеров домена. Потому как в этом случае весьма вероятен цикл, при котором контроллер домена и хостовая ОС будут синхронизировать друг друга. Последствия печальны.
- Для корневого PDC синхронизация с внешним источником должна быть настроена всегда. В виртуальной среде часы не настолько точны как в физической, потому как виртуальная машина работает с виртуальным процессором и прерываниями, для которых характерно как замедление, так и ускорение относительно «обычной» частоты. Если не настроить синхронизацию виртуализированного корневого PDC с внешним источником, время на всех компьютерах предприятия может убегать/отставать на пару часов в сутки. Не трудно представить неприятности, которые может принести такое поведение.
Главная » WINDOWS » Как установить дату и время при помощи cmd (командной строки)
Опубликовано 23.03.2022
Содержание
- Как установить время при помощи cmd
- Вот еще небольшой список команд который вам поможет установить время через cmd:
- Синхронизация времени и даты через Net time
- Примеры команды NET TIME
- Дополнительная справка по команде:
На современных компьютерах легко установить дату и время, перейдя на панель задач. Это также может быть сделано через командную строку незаметно для пользователя. Это руководство пригодится системным администраторам в домене. Так как для того чтоб установить дату и время, требуется войти с правами администратора, а это не всегда удобно. С этим руководством вам всего лишь понадобится запустить командную строку (cmd) от имени администратора.
Как установить время при помощи cmd
Запустите командную строку горячими клавишами «Win+R«, далее введите команду «time«. Поставьте после пробела нужную дату в формате HH:MM:SS, нажмите «Enter» и посмотрите в трей.
time 15:38:00
Для изменения даты нам предстоит проделать то же самое что мы делали со временем. Но вместо времени пишем «date» и саму дату в формате HH.M.YYY.
date 14.04.2016
Вот еще небольшой список команд который вам поможет установить время через cmd:
Получить список часовых поясов
TZUTIL /l
Получить информацию о часовом поясе на данном ПК
TZUTIL /g
Установить часовой пояс
TZUTIL /s "Yakutsk Standard Time"
Синхронизация времени и даты через Net time
Но иногда сис-админу проще синхронизировать время с сервером. Для этого в операционной системе Windows есть команда «net time». Немного об этой команде:
NET TIME синхронизирует время, дату и часовой пояс компьютера клиента с другим компьютером или доменом. При использовании команды без параметров, NET TIME выдает текущую дату и время. Которые установлены на компьютере. Так же эта команда позволяет настроить сервер времени NTP для компьютера. И так чтоб синхронизировать время вашего компьютера с компьютером Proton, используйте следующую команду.
net time \proton /set
Ваши часы буду установлены точно так же как и часы компьютера proton. Вот еще немного примеров с пояснениями:
Примеры команды NET TIME
1. net help time — показывает справку команды net.
2. net time \setiwik— покажет на экране время компьютера setiwik
3. net time /querysntp — отображение на экране имени сервера NTP для локального компьютера;
4. net time \setiwik /set — синхронизует часы локального ПК с временем ПК setiwik.
Дополнительная справка по команде:
\имя_компьютера— Требуется ввести имя сервера, с которым требуется проверить или синхронизировать время./domain[:имя_домена]— задает имя домена, с которым синхронизируются часы./set— Данная команда синхронизирует часы с указанным компьютером или доменом./querysntp— выводит имя сервера NTP (Network Time Protocol), указанного в параметре \имя_компьютера./setsntp[:список_серверов_NTP]— указывает список серверов времени NTP для использования на локальном компьютере.
Table of Contents
- Introduction
- Network Time Protocol (NTP)
- Active Directory Time Synchronization Architecture
- How to check the configuration from client side
- External Time Source
- Stratum Value
- Configure a reliable external time source for the Forest Root Domain PDC Emulator
- Remove the reliable external time source settings from the old PDC Emulator (If you are changing the PDC emulator)
- Post configuration checking
- A Note on Registry keys
- Designing a Time Service Policy
- How can we ensure that our systems are maintaining accurate time?
- Summary
- References
Introduction
In an Active Directory domain, it is very important for all clocks to be within 5 minutes of each other (by default) due to the implementation of the Kerberos protocol for authentication.
Also, Active Directory uses multi-master replication model between Domain Controllers. So it is important that changes made at a later actual time on one DC don’t get overwritten by similar changes on another DC, whose time is
set wrong thus making it look like the most recent change.
In this article, we would discuss the AD Time Synchronization architecture, how to configure an external time source and various other aspects of the Windows Time Service.
We also recommend checking this TechNet article, which gives a very good insight of the Windows Time Service:
https://technet.microsoft.com/en-us/library/cc773013(WS.10).aspx
Network Time Protocol (NTP)
Network Time Protocol (NTP) is the default time synchronization protocol used by the Windows Time Service (WTS) in Windows servers and workstations.
NTP is implemented via UDP over port 123 and can operate in broadcast and multicast modes, or by direct queries.
Active Directory Time Synchronization Architecture
In Active Directory deployment, the only computer configured with a time server explicitly should be computer holding the PDC Emulator FSMO role in the forest root domain.
This is because the Forest root domain PDC emulator is the one and only one-time source for all the Domain Controllers, member servers and windows based workstations for the entire forest.
It is possible to override this configuration and bypass PDC emulator, but the default (and recommend) configuration is that all domain members should sync time with forest PDC emulator, directly or indirectly.
- All domain controllers in the forest root domain synchronize time with the PDC Emulator FSMO role-holder.
- All Domain Controllers in child Domains synchronize time with any Domain Controller with Parent Domain or with PDC Emulator of its own Domain.
- All PDC Emulator FSMO role-holders in child domains synchronize their time with domain controllers in their parent domain (including, potentially, the PDC Emulator FSMO role-holder in the forest root domain).
- All domain member computers (Servers / Workstations/ any other devices) synchronize time with domain controller computers in their respective domains.
Diagram Source: Microsoft
How to check the configuration from client side
To determine if a domain member is configured for domain time sync, examine the REG_SZ value at HKLMSystemCurrentControlSetServicesW32TimeParametersType.
- If it is set to «Nt5DS» then the computer is synchronizing time with the Active Directory time hierarchy.
- If it’s configured with the value «NTP» then the computer is synchronizing time with the NTP server specified in the NtpServer REG_SZ value in the same registry key.
External Time Source
Since PDC Emulator of the forest root domain is the main time source of the entire forest, it is important that the system clock of this computer is accurate.
To maintain the accuracy, the forest root domain PDC emulator must be configured to synchronize its time with an external time source which is reliable. Example: Windows Time Server or Google Time Server.
Stratum Value
The degree to which a computer’s time is accurate is called a
stratum.
- The most accurate time source on a network (such as a hardware clock) occupies the lowest stratum level, or stratum one.
This accurate time source is called a reference clock.
- An NTP server that acquires its time directly from a reference clock occupies a stratum that is one level higher than that of the reference clock.
- Resources that acquire time from the NTP server are two steps away from the reference clock, and therefore occupy a stratum that is two higher than the most accurate time source, and so on.
As a computer’s stratum number increases, the time on its system clock may become less accurate.
Therefore, the stratum level of any computer is an indicator of how closely that computer is synchronized with the most accurate time source.
So when you configure a new PDC emulator or move existing PDC emulator role to a different domain controller, please follow below steps for external time source configuration.
Old PDC Emulator: DC1.subhro.com
New PDC Emulator: DC2.subhro.com
External Time Sources: 1) time.windows.com 2) time.google.com
Configure a reliable external time source for the Forest Root Domain PDC Emulator
Note: If Forest PDC Emulator is a VM, make sure it is
not configured to Sync time with its host.
1. On the PDC Emulator, run the following command from command prompt (Admin Mode)
w32tm /config /manualpeerlist:»0.time.windows.com,0x1 1. time.google.com ,0X1″ /syncfromflags:manual /reliable:yes /update
2. Check and confirm the below registry value:
- HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParametersType has “NTP” as the value
- HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParametersNtpServer
has the value «0.time.windows.com,0x1 1. time.google.com ,0X1»
Please note: Make sure the time server names are resolvable. Otherwise, please use IP address.
- HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfigAnnounceFlags
has the value 0x5. This value indicates that this system is configured to sync with an external time source. If the value is 0XA, it means this system will not sync with any external time source but would sync with itself.
3. Configure poll interval with external time source by modifying below registry key:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProvidersNtpClientSpecialPollInterval
Put the value in seconds. For example, if you want to set the poll interval to 1 hour, put 3600 here.
4. Run the following commands in sequential order :
net stop w32time
net start w32time
5. If required, restart the new PDC emulator.
Remove the reliable external time source settings from the old PDC Emulator (If you are changing the PDC emulator)
1. Run the following command from command prompt of the old PDC Emulator :
w32tm /config /syncfromflags:domhier /reliable:no /update
2. Check and confirm the registry key
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParametersType has “NT5DS” as the value
3. Run the following commands in sequential order :
net stop w32time
net start w32time
2. If required, restart the server.
Post configuration checking
1. Check the time configuration by running the command
w32tm /query /configuration
2. Check the time synchronization report by running the command
Click here to get the Powershell script, which will automate the Time Skew report for your domain, and will send the result in an email.
3. To compare the time synchronization of a server with an external time source use the following command
w32tm /stripchart /computer: time.windows.com
d: Internal delay (time difference between the UDP package received and UDP package sent on the server side.
O: Actual offset between the local time and the server time.
4. To check the time source of a server run this command
w32tm /query /status
5. To manually sync the time with time source, run this command
w32tm /resync
Few points to observe from the above output:
-
Root dispersion is the maximum clock time difference that was ever observed between the local clock and the root clock. As you can see, this value has been reduced to milliseconds after synchronization.
- Since the primary time source (time.windows.com) is not reachable, it has automatically switched to secondary time source (time.google.com).
- Stratum value was earlier 1, indicating that no external time source was configured and this PDC emulator was the root time source (which is not the recommended configuration, as explained earlier)
After running the first sync, the server detected the newly configured external time source and marked it as root (Stratum value 1). Therefore, the new value of the PDC emulator has been changed to one level up, which is 2.
A Note on Registry keys
There is an article on Technet which explains these registry values which we have used here.
https://blogs.msdn.microsoft.com/w32time/2008/02/26/configuring-the-time-service-ntpserver-and-specialpollinterval/
Excerpts from that article
It is important to note that W32Time will only actively synchronize with one time source at a time, even though you are able to list more than one time source. The reason for this is simple: If your favorite time source goes down,
it would be good to have a backup, or possibly a list of backups.
W32Time configures the list of time sources through the following key:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParametersNtpServer
The NtpServer key is a space-delimited list of time servers, either as DNS address or as IP addresses. Each server in the list can optionally have a set of flags, which are denoted as a hex value at the end of the address, separated
by a comma.
Now let’s take a look at the flags. We have 4 possible flags:
• 0x01 SpecialInterval
• 0x02 UseAsFallbackOnly
• 0x04 SymmatricActive
• 0x08 Client
For 99% of cases, we only care about the first two options, so that is where we will focus. If you use the SpecialInterval flag, then you need to also set the «SpecialPollInterval» key:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProviders
NtpClientSpecialPollInterval
Normally, W32Time will poll (make a time request) on a floating interval, based on the quality of the time samples being returned by the time source. You can, however, specify a static interval that the time service will synchronize
on. This value is in seconds. For example, if you set an of 3600, the time service will synchronize every hour (60 minutes * 60 seconds).
The second flag is the UseAsFallbackOnly option. Setting this flag will tell the time service that you want to try every other time server specified before trying this one.
Designing a Time Service Policy
Configuring PDC Emulator and external time source is only one part of the time service configuration. There are still many other points which we need to consider. Some of the important points are described below.
1.
Force all windows systems to use Domain Controller as their time source
By default in Active Directory domain environment clients synchronize their time with domain controllers (option Nt5DS — synchronize time to domain hierarchy).
Typically, this behavior does not need to be reconfigured. However, if you want to ensure that the default behavior would not be overridden by someone on the client side, you can force a Group Policy to push the configuration.
a) Navigate to Computer Configuration->Policies->Administrative Templates->System->Windows Time Service->Time Providers. In the right pane, double-click “Enable Windows NTP Client”. Set it to “Enabled” and click OK.
b) Next, double-click “Configure Windows NTP Client”. Configure the options then append, 0x1 to the NtpServer field so that it reads yourdc.yourdomain.com,0x1)
2.
Disable Virtual Machine Time Sync from host
All modern hypervisors have the ability to provide time synchronization to guest machines through that hypervisor’s integration tools. If enabled, guest machines will draw time from the physical host they are running on.
In an Active Directory environment, it is recommended to disable Virtual Machine time sync with a host, to avoid potential conflict.
3. Enable DHCP Scope Option
If you would like to push NTP server settings to a non-windows device (Like IP Phone), use DHCP scope option 042. Do not use DHCP scope option 004 unless it is specifically mentioned in any documentation.
4.
Allow UDP Port 123 through Firewall
UDP port 123 should be unblocked by the firewalls, in both directions.
Also, remember NTP client sends UDP request from random port >1023 to port 123 on NTP server. It waits for a response on the same originating port. The firewall should be able to keep open originating port for UDP traffic from
NTP server.
5.
Configure Static Devices
There are few static devices (like few SAN, NAS devices) which do not support NTP server configuration over Group Policy or DHCP. For such devices, you need to configure the time sources statically, from the device console.
The downside is, if NTP server name would be changed, you have to change these settings manually.
How can we ensure that our systems are maintaining accurate time?
We recommend to follow below steps to ensure that all systems in an AD environment are maintaining accurate time.
a) Forest Root Domain PDC Emulator should sync its time with external NTP server on a regular basis.
To ensure that, follow these steps
1. Execute w32tm /query /status from the forest root domain PDC emulator. Validate the NTP server, last sync time, root desperation.
2. Compare the PDC emulator clock time with any world clock time and observe the difference in seconds. One such site is https://www.timeanddate.com/ , where you can view world clock with second value and can compare with your
PDC.
b) All other Domain Controllers should sync time with Forest Root Domain PDC emulator on a regular basis. The time difference between Domain Controllers should be less than 1 second in an entire forest.
To ensure that, configure a scheduled task, which would generate the Time Skew Report for all Domain Controllers and send it to your mailbox.
Click here for the script, which I have prepared for this purpose.
c) All other computers and workstations should sync with Domain Controllers at a regular interval.
Summary
In this article, we have gone through the time service architecture within an Active Directory Forest. We have also discussed how to configure external time source for Forest PDC Emulator, and how to ensure client systems will
follow the Active Directory Time Architecture.
Additionally, we have covered some best practices related to Time Service Configuration of virtual machines, Firewall Port Configuration and configuring non windows devices.
References
1. https://technet.microsoft.com/en-us/library/cc773013(WS.10).aspx
2. https://blogs.msdn.microsoft.com/w32time/2008/02/26/configuring-the-time-service-ntpserver-and-specialpollinterval/