Как настроить частоту синхронизации времени

В этой статье я расскажу о:

оптимальной с моей точки зрения конфигурации сервера времени корневого PDC
полезных командах для настройки и диагностики синхронизации времени , которые нужно учитывать для виртуализированных контроллеров домена

Топология синхронизации времени среди участников Active Directory

Среди компьютеров, участвующих в Active Directory работает следующая схема синхронизация времени.

Контроллер корневого домена в лесу AD, которому принадлежит роль PDC (назовем его корневым PDC), является источником времени для всех остальных контроллеров этого домена.
Контроллеры дочерних доменов синхронизируют время с вышестоящих по топологии AD контроллеров домена.
Рядовые члены домена (сервера и рабочие станции) синхронизируют свое время с ближайшим к ним доступным контроллером домена, соблюдая топологию AD.

Корневой PDC может синхронизировать свое время как со внешним источником, так и с самим собой, последнее задано конфигурацией по умолчанию и является абсурдом, о чем периодически намекают ошибки в системном журнале.

Синхронизация клиентов корневого PDC может осуществятся как с его внутренних часов, так и с внешнего источника. В первом случае сервер времени корневого PDC объявляет себя как «надежный» (reliable).

Далее я приведу оптимальную с моей точки зрения конфигурацию сервера времени корневого PDC, при которой сам корневой PDC периодически синхронизирует свое время от достоверного источника в интернете, а время обращающихся к нему клиентов синхронизирует со своими внутренними часами.

Конфигурация NTP-сервера на корневом PDC

Конфигурирование сервера времени (NTP-сервера) может осуществляться как с помощью утилиты командной строки w32tm, так и через реестр. Где возможно, я приведу оба варианта.

Включение синхронизации внутренних часов с внешним источником

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParameters]
«Type»=»NTP»
w32tm /config /syncfromflags:manual

Подробности — в библиотеке TechNet.

Объявление NTP-сервера в качестве надежного

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfig]
«AnnounceFlags»=dword:0000000a
w32tm /config /reliable:yes

Подробности — в библиотеке TechNet.

Включение NTP-сервера

NTP-сервер по умолчанию включен на всех контроллерах домена, однако его можно включить и на рядовых серверах.

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProvidersNtpServer]
«Enabled»=dword:00000001

Задание списка внешних источников для синхронизации

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeParameters]
«NtpServer»=»time.nist.gov,0x8 ntp1.imvp.ru,0x8 ntp2.imvp.ru,0x8 time.windows.com,0x8 ru.pool.ntp.org,0x8»
w32tm /config /manualpeerlist:»time.nist.gov,0x8 ntp1.imvp.ru,0x8 ntp2.imvp.ru,0x8 time.windows.com,0x8 ru.pool.ntp.org,0x8″

Флаг 0×8 на конце означает, что синхронизация должна происходить в режиме клиента NTP, через предложенные этим сервером интервалы времени. Для того, чтобы задать свой интервал синхронизации, необходимо использовать флаг 0×1. Все остальные флаги описаны в библиотеке TechNet.

Задание интервала синхронизации с внешним источником

Время в секундах между опросами источника синхронизации, по умолчанию 900с = 15мин. Работает только для источников, помеченных флагом 0×1.

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProvidersNtpClient]
«SpecialPollInterval»=dword:00000384

Установка минимальной положительной и отрицательной коррекции

Максимальная положительная и отрицательная коррекция времени (разница между внутренними часами и источником синхронизации) в секундах, при превышении которой синхронизация не происходит. Рекомендую значение 0xFFFFFFFF, при котором коррекция сможет производиться всегда.

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfig]
«MaxPosPhaseCorrection»=dword:FFFFFFFF
«MaxNegPhaseCorrection»=dword:FFFFFFFF

Все необходимое одной строкой

w32tm.exe /config /manualpeerlist:»time.nist.gov,0x8 ntp1.imvp.ru,0x8 ntp2.imvp.ru,0x8 time.windows.com,0x8 pool.ntp.org,0x8″ /syncfromflags:manual /reliable:yes /update

Полезные команды

Применение внесенных в конфигурацию службы времени изменений
w32tm /config /update
Принудительная синхронизация от источника
w32tm /resync /rediscover
Отображение состояния синхронизации контроллеров домена в домене
w32tm /monitor
Отображение текущих источников синхронизации и их статуса
w32tm /query /peers

Особенности виртуализированных контроллеров домена

Контроллеры домена, работающие в виртуализированной среде, требуют к себе особенного отношения.

Настройка службы Windows времени с большим смещением времени

В этой статье описывается настройка службы Windows времени с большим смещением времени.

Применяется к: Windows 10 — все выпуски, Windows Server 2012 R2
Исходный номер КБ: 884776

Читайте так же:

Регулировка сцепления мицубиси ланцер

Введение

Windows операционные системы включают средство службы времени (служба W32Time), которое используется протоколом проверки подлинности Kerberos. Проверка подлинности Kerberos будет работать, если интервал времени между соответствующими компьютерами находится в пределах максимального интервала времени включения. По умолчанию — 5 минут. Вы также можете отключить средство службы времени. Затем можно установить сторонную службу времени.

Цель средства службы времени состоит в том, чтобы убедиться, что все компьютеры в организации, в организации с Windows 2000 или более поздних версий Windows операционных систем, используют общее время. Чтобы убедиться, что используется соответствующее общее время, служба времени использует иерархические отношения, контролирующие полномочия. По умолчанию Windows компьютеры используют следующую иерархию:

Все клиентские настольные компьютеры назначают контроллер домена проверки подлинности в качестве авторитетного источника времени.

В домене все серверы следуют той же процедуре, что и настольные компьютеры клиента.

Все контроллеры домена в домене назначают основного контроллера домена (PDC) в качестве источника времени.

Все мастера операций PDC следуют иерархии доменов в выборе источника времени. Однако мастера операций PDC могут использовать родительский контроллер домена, основанный на числовом номере стратов.

Номер stratum определяет, насколько близок сервер времени к основному источнику ссылок.

Чем меньше число, тем ближе сервер к основному источнику времени. В этой иерархии мастер операций PDC в корне леса становится авторитетным сервером времени для организации. Мы настоятельно рекомендуем настроить авторитетный сервер времени для сбора времени из аппаратного источника. При попытке настроить авторитетный сервер времени для синхронизации с источником времени в Интернете проверка подлинности не происходит. Мы также рекомендуем уменьшить параметры коррекции времени для серверов и автономных клиентов. Когда вы будете следовать этим рекомендациям, домену будет предоставлено более точное время.

Дополнительная информация

Анализ откатов времени показал, что компьютеры могут использовать время, которое может быть дней, месяцев, лет или даже десятков лет в будущем или в прошлом. При откате или откате компьютеров во времени могут возникать следующие проблемы:

Пароли на компьютерных учетных записях, учетных записях пользователей и доверительные отношения могут быть преждевременно обновлены.
Карантины можно определить по событию репликации NTDS 2042 в репликации службы каталогов Active Directory.
Несоответствие паролей достоверно восстанавливается для учетных записей компьютеров, учетных записей пользователей или для отношений доверия. Для восстановления от таких несоответствий может потребоваться сброс ручного пароля на всех затронутых учетных записях и довериях.

Защита от откатов и откатов времени

При перезапуске компьютеров и циклов питания BIOS сохраняет время в локальном EPROM, расположенном на материнской доске компьютера. Когда Windows начинается, ядро извлекет текущее время из BIOS. Это время используется в качестве начального времени, пока служба W32Time не сможет синхронизироваться с другим источником времени.

Служба Windows 32 времени поддерживает два записи реестра, и MaxPosPhaseCorrection MaxNegPhaseCorrection . Эти записи ограничивают примеры, которые служба времени принимает на локальном компьютере, когда эти образцы отправляются с удаленного компьютера.

Когда компьютер, работающий в стабильном состоянии, получает пример времени из источника времени, образец проверяется на границах фазовой коррекции, которые накладываются записями MaxPosPhaseCorrection MaxNegPhaseCorrection реестра. Если пример времени подпадает под ограничения, которые исполняют два записи реестра, этот пример принимается для дополнительной обработки. Если пример времени не входит в эти ограничения, образец времени игнорируется, а служба времени регистрит следующее сообщение в файле частного журнала W32Time:

Если администраторы уменьшают значение для положительных и отрицательных исправлений фаз, администраторы могут уменьшить угрозу того, что компьютеры будут получать время из недействительных примеров времени для Windows компьютера на основе Windows. С другой стороны, если администраторы уменьшают значение, администраторы могут запретить компьютерам опережать или отставать от текущего времени на большее количество ограничений, налагаемого этими значениями.

Читайте так же:

Порядок регулировки клапанов 6hk1

Если значения записи реестра для положительных и отрицательных исправлений уменьшаются, время увеличивается или уменьшается.

Значение по умолчанию для записей в MaxPosPhaseCorrection MaxNegPhaseCorrection Windows 2000, Windows XP, Windows Server 2003 и Windows Vista:
0xFFFFFFF

Это значение позволяет компьютеру получать время, которое содержится в любом примере времени, независимо от неточности.

В Windows Server 2008 было принято новое значение по умолчанию для записей реестра MaxPosPhaseCorrection и MaxNegPhaseCorrection. Новое значение по умолчанию — 48 часов. Это 48-часовая величина может быть представлена в качестве одного из следующих значений:

2a300 (hexadecimal)
172800 (десятичных)

Рекомендуется, чтобы записи и записи реестра были задатки значению, которое не является MaxPosPhaseCorrection MaxNegPhaseCorrection следующим значением:
MAX (0xFFFFFFFF)

Если вы установите значение, помимо MAX (0xFFFFFFFF), вы можете запретить компьютерам принимать время, которое является очень неточным в сценариях перезапуска компьютера или прерывания подключения к внешним источникам времени. Например, рассмотрим случай, когда записи реестра MaxPosPhaseCorrection и MaxNegPhaseCorrection установлены в течение 48 часов для всех контроллеров домена в лесу. Если какой-либо один контроллер домена испытывает необычный скачок времени более 48 часов, значение, которое вы задайте для записей реестра MaxPosPhaseCorrection и MaxNegPhaseCorrection, не позволит другим компьютерам сделать такой же скачок времени. Поэтому компьютеры, не синхронизированные, могут храниться отдельно от других компьютеров до тех пор, пока администратор не сможет исследовать и принимать меры по исправлению.

Точность времени особенно важна для основного контроллера основного домена леса (PDC). Так как PDC является корневым источником времени для домена, неточные изменения времени в PDC потенциально могут привести к скачку времени для всего домена. Если для PDC налагаются ограничения на исправление фаз, вы можете запретить другим контроллерам домена в лесу принимать новое время.

Значение по умолчанию 48 часов вместо значения по умолчанию 5 минут или 15 минут основано на следующих причинах:

Выход из утилиты W32TM трудно читать.
W32TM в настоящее время не имеет целевого времени на компьютерах членов и на серверах членов.

Ошибки и события, которые Windows и автономный журнал сторонних приложений, крайне несовместимы. Возможные ошибки включают коды возврата, похожие на следующие:

отказано в доступе
RPC Server недоступен

Эти ошибки имеют низкую корреляцию со временем перекоса, поскольку причина может Windows компьютеров на основе точных значений времени.

Таким образом, 48 часов было следующим очевидным смещением времени после 25 или 36 часов. Администраторы также могут уменьшить значение с помощью правильных средств, сообщая об инфраструктуре и тестировании.

Конкретные рекомендации в зависимости от версии операционной системы и роли компьютера описаны в следующих разделах.

Windows Xp Professional и все версии Windows Server 2003

PDC корневого леса (авторитетный сервер времени)

MaxPosPhaseCorrection
MaxNegPhaseCorrection

Значение по умолчанию этих двух записей реестра 0xFFFFFFFF. Это значение по умолчанию означает "Принять любое изменение времени". Рекомендуем значение 48 часов. Он представлен в реестре как 2a300 (hexadecimal) или 172800 (десятичных). Рекомендуется установить значение записи реестра MaxPollInterval до 10 или менее или установить значение записи реестра SpecialPollInterval до 3600 (1 час) или менее.

Контроллеры домена и серверы-члены в домене

Записи MaxPosPhaseCorrection MaxNegPhaseCorrection и записи реестра по умолчанию имеют значение 0xFFFFFFFF. Это значение по умолчанию означает "Принять любое изменение времени". Рекомендуется установить это значение до 48 часов на всех контроллерах домена. Значение 48 часов также может быть установлено на серверах-членах, которые запускают приложения на основе конфиденциального времени.

Дополнительные сведения об этих записях реестра см. в разделе Windows Server 2003 и Windows xp Time Service registry.

Автономные клиенты

Записи и записи реестра по умолчанию имеют MaxPosPhaseCorrection MaxNegPhaseCorrection значение 54 000 (15 часов). В качестве рекомендации по безопасности рекомендуется уменьшить это значение по умолчанию. Мы также рекомендуем установить значение 3600 (1 час) или еще меньшее значение в зависимости от источника времени, состояния сети, интервала опроса и требований безопасности.

Windows Записи реестра серверов 2003 и Windows XP Time Service

Type	Сведения
Запись реестра	MaxPosPhaseCorrection
Тип значения	DWORD
Subkey	HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfig
Примечания.	Эта запись указывает самую большую положительную коррекцию времени за секунды, которую может сделать служба. Если служба определяет, что изменение больше требуемой, она регистрит событие. Особый случай: 0xFFFFFFFF означает всегда внести исправление времени. Значение по умолчанию для членов домена 0xFFFFFFFF. Значение по умолчанию для автономных клиентов и серверов — 54 000 (15 часов).
Запись реестра	MaxNegPhaseCorrection
Тип значения	DWORD
Subkey	HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfig
Примечания.	Эта запись указывает самую большую отрицательную коррекцию времени за секунды, которую может сделать служба. Если служба определяет, что изменение больше, чем это требуется, она регистрит событие. Особый случай: -1 означает всегда внести исправление времени. Значение по умолчанию для членов домена 0xFFFFFFFF. Значение по умолчанию для автономных клиентов и серверов — 54 000 (15 часов).
Запись реестра	MaxPollInterval
Тип значения	DWORD
Subkey	HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeConfig
Примечания.	Эта запись указывает самый большой интервал в секундах, который включен для интервала опроса системы. Обратите внимание, что, несмотря на то, что система должна провести опрос в соответствии с запланированным интервалом, поставщик может отказаться от производства образцов при запросе образцов. Значение по умолчанию для членов домена — 10. Значение по умолчанию для автономных клиентов и серверов — 15.
Запись реестра	SpecialPollInterval
Тип значения	DWORD
Subkey	HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW32TimeTimeProvidersNtpClient
Примечания.	Эта запись указывает специальный интервал опроса в секундах для одноранговых одноранговых служб вручную. Когда включен флаг specialInterval 0x1, W32Time использует этот интервал опроса вместо интервала опроса, который определяет операционная система. Значение по умолчанию для членов домена — 3600. Значение по умолчанию для автономных клиентов и серверов — 604 800.

Мы рекомендуем использовать редактор объектов глобальной политики для развертывания этих параметров. Дополнительные сведения о службе Windows времени в лесу на Windows Server 2003 см. в Windows Time Service (W32Time).

Значения Windows службы времени, определенные в объекте групповой политики (GPO), могут не соответствовать значениям по умолчанию, определенным в реестре доменных контроллеров Windows Server 2003. При развертывании значений MaxPosPhaseCorrection и MaxNegPhaseCorrection для контроллеров домена Windows Server 2003 с помощью GPO убедитесь, что GPO не изменяет значения других параметров службы Windows времени в реестре. Другие Windows параметры службы времени также могут быть изменены в GPO, чтобы соответствовать значениям реестра по умолчанию в контроллерах домена.

Все версии Windows 2000 Пакет обновления 4 (SP4)

PDC корневого леса (авторитетный сервер времени)

Мы настоятельно рекомендуем настроить авторитетный сервер времени для сбора времени из аппаратного источника. При настройке авторитетного сервера времени для синхронизации с источником времени в Интернете проверка подлинности в ручном режиме не происходит. Вы можете перенастроить запись MaxAllowedClockErrInSecs реестра. Значение по умолчанию — 43 200. Рекомендуемое значение — 900 (15 минут) или еще меньшее значение в зависимости от источника времени, сетевых условий и требований безопасности. Это также зависит от интервала опроса. Рекомендуется, чтобы интервал опроса был установлен в течение одного часа каждые 24 часа.

Дополнительные сведения об этой записи в реестре см. в разделе Windows 2000 реестра SP 4.

Контроллеры домена и серверы-члены в домене

Тип синхронизации — NT5DS. Служба времени синхронизируется с иерархией домена, а служба времени принимает постоянное изменение. Так как NT5DS принимает любое изменение времени без рассмотрения смещения времени, важно настроить надежный источник корневого времени леса в подсети синхронизации времени.

Значение NT5DS указывает, что тип синхронизации получен из записи реестра.

Автономные клиенты

Запись реестра имеет значение по умолчанию MaxAllowedClockErrInSecs 43 200 (12 часов). В качестве рекомендации по безопасности рекомендуется уменьшить это значение по умолчанию. Рекомендуется установить значение 3600 (1 час) или еще меньшее значение в зависимости от источника времени, сетевых условий, интервала опроса и требований безопасности.

Синхронизация времени на серверах

Перед настройкой NTP рекомендуется установить текущую системную дату на значение, максимально приближенное к реальному времени. Для этого можно воспользоваться утилитой для ручной синхронизации времени – ntpdate.

Команда date без параметров выводит текущее системное время.

Установка и настройка NTP

Установка NTP происходит при первичной установке пакета ecss-node, в ходе которого будет задано несколько вопросов:
- Спрашивается, хотите ли включить tos orphan режим? — режим для кластера, сам регулирует кто с кем синхро низируется (да/нет).
- Точность времени кластера по Startum
- Спрашиваются внешние сервера — типа ntp.ubuntu.com. Они указываются для нод, которые должны регулировать время и синхронизировать с внешним источником (указываются адреса через пробел).
- Предлагается использовать настройки синхронизации с локальных серверов.
- Спрашиваются локальные хосты, с которыми должна происходить синхронизация (указываются адреса через пробел).
- Указываются сети, которые могут иметь доступ до ноды, чтобы другие ноды могли синхронизироваться (указываются сети вида адрес_сети|маска_сети через пробел).
- Спрашивается какой точность по Startum выставить серверу ntp на данной машине.
Ручная настройка сервиса

В случае если требуется переконфигурировать текущие настройки NTP, то следует отредактировать файл /etc/ecss/ecss-ntp.conf.

Для этого необходимо привести файл /etc/ecss/ecss-ntp.conf к следующему виду:

Пример 1. В примере используется схема с резервированием. Система ECSS-10 развернута на двух серверах, которые синхронизируются между собой и NTP-сервером.

В режиме Orphan сервера в кластере синхронизируются друг от друга, сами договариваются кто из них мастер и следят, чтобы в рамках кластера часы шли синхронно.
Если появляется мастер сервер NTP со стратумом меньше заданного для кластера, то кластер автоматически перенастраивается на синхронизацию от него.

Таким образом, выполняется постоянное наличие единственной точки синхронизации времени.

Все зависимые устройства должны синхронизироваться от серверов кластера.

Пример 2. В примере используется схема без резервирования. Orphan mode не используется.

Для применения обновленной конфигурации нужно перезапустить сервис NTP:

Для просмотра информации о состоянии синхронизации используется команда ntpq –p. Если использовать дополнительный ключ –n, вместо имени сервера будет указан IP-адрес:

Пример 1. Схема с резервированием.

Пример 2. Схема без резервирования.

remote – имя удаленного NTP-сервера;
refid – IP-адрес сервера, с которым производит синхронизацию удаленный сервер NTP;
st – stratum (уровень), число от 1 до 16, указывающее точность сервера;
t — тип удаленного сервера:
- u — unicast,
- l — local,
- m — multicast,
- b — broadcst;
Символ (*) возле IP-адреса сервера указывает на то, что сервер является активным и система синхронизирована с данным сервером.
После старта сервиса может потребоваться около 10 минут для установления синхронизации времени с базовым NTP-сервером.
Сервисы точного времени Московской Биржи
Клиентам зоны Колокации доступен сервис синхронизации времени с устройством PTP-Grandmaster Московской Биржи по протоколу PTP (Precision Time Protocol).
Оборудование Биржи получает сигналы точного времени GPS в физически зарезервированных точках: двое Grandmaster-часов, каждые из которых с собственной GPS-антенной.
Этот сигнал используется для синхронизации времени торговых систем, а также транслируется клиентам зоны колокации, заказавшим услугу. Трансляция осуществляется через раздельные сетевые контуры с использованием различных PTP-доменов.
Параметры сервиса:
- Точность синхронизации при штатной работе: менее 1 мкс – в 100 раз превосходит требования MIFID II.
- Timestamping в наносекундах.
- Отказоустойчивое подключение: два PTP домена, получающие сигнал от отдельных GPS-антенн.
- В ходе публичного нагрузочного тестирования 2019 отклонения часов на сетевых устройствах не превышали 500 наносекунд в условиях аномально высокого сетевого трафика: https://fs.moex.com/f/11252/itogi-nagruzochnogo-testirovanija-30-03-2019.pdf.
Примеры использования:
- Выполнение требований MIFID II.
- Точный анализ торговых ситуаций: сравнение временных меток на стороне клиента с временными метками, которые клиент получает от торговых систем Биржи).
- Grandmaster clocks as a service.
Для получения дополнительной информации и заказа услуг:
Т +7 (495) 363-3232 доб. 5656
E ITsales@moex.com
Сервис точного времени по протоколу NTP
Для периодической синхронизации систем клиента с временем торговой инфраструктуры Московская Биржа предоставляет бесплатный сервис синхронизации по протоколу NTP. Решение доступно для подключений по выделенным каналам связи, а также из зоны колокации Биржи.
Особенности реализации:
1. Мастер часы – это специализированные сервера точного времени с GPS синхронизацией и рубидиевым осциллятором. Отставание времени – не более 5мс в год при отсутствии внешней синхронизации.
2. Пара мастер часов (основной/резервный) располагается в каждом из ЦОД МБ (DSP/M1/K13).
3. Публичные NTP адреса расположены на устройствах в разных ЦОД (DSP/M1) для обеспечения географического резервирования подключений клиентов.
4. Разрешенная частота опроса NTP – не чаще 2 раз в секунду.
5. Для удаленных пользователей, подключающихся через сеть Интернет или через глобальные точки присутствия Биржи, рекомендовано использование локального времени.
Настройки подключения:
Для подключений из зоны колокации Биржи необходимо использовать соответствующие настройки маршрутизации.
Для синхронизации времени рекомендуется использовать специализированное программное обеспечение и не использовать встроенные возможности операционных систем локальных пользователей.
Рекомендуем уделять внимание политике синхронизации времени на локальных системах пользователей: частоте синхронизации, способу корректировки, а также на периодической основе проверять работоспособность системы синхронизации.
Убедительно просим вас выполнять соответствующие настройки строго во внеторговое время, для обеспечения безопасности ваших подключений к торговым системам биржи.
С вопросами по подключению и использованию сервиса, пожалуйста, обращайтесь в службу технической поддержки:
Тел: +7 (495) +7 (495) доб. 12345
E-mail: help@moex.com
Уважаемые посетители сайта, чтобы отправить свое предложение или задать вопрос, используйте форму обратной связи.
Мы ценим Ваше мнение и обязательно рассмотрим Ваши вопросы и в случаях, когда это возможно, подтвердим получение Письма и предоставим письменный ответ.
В случае наличия обоснованных и существенных претензий, Биржа совместно с Экспертными Советами примет меры по разработке и реализации соответствующих изменений.
голоса
Рейтинг статьи

Как настроить частоту синхронизации времени