หนึ่งในเซิร์ฟเวอร์ NTP ภายนอก (เซิร์ฟเวอร์หลัก - ปัจจุบัน) ที่เราใช้เป็นแหล่งดูเหมือนว่าจะไม่ตอบสนองต่อการโทร NTP น่าเสียดายที่เราเตอร์หลักของเรา (Cisco 6509) ฟังก์ชั่น NTP ไม่ได้เปลี่ยนไปใช้เซิร์ฟเวอร์ภายนอก NTP รองตามที่คาดไว้ ด้วยเหตุนี้เราเตอร์หลักของเราซึ่งเป็นแหล่ง NTP หลักภายในของเราค่อนข้างช้า 2 นาที

ฉันวางแผนที่จะแก้ไขปัญหาเราเตอร์ภายนอกโดยทำให้แหล่งข้อมูล NTP ภายนอกเป็นแหล่งข้อมูลที่ใช้งานได้ในปัจจุบัน ฉันสงสัยว่าการเปลี่ยนแปลง 2 นาทีจะมีผลกับผู้ใช้และบริการของฉันเท่าใด เป็นพิเศษตั้งแต่สมัยนี้เราต้องพึ่งพาการรับรองความถูกต้องตามใบรับรองเป็นอย่างมาก

เราเป็นร้านค้า Windows / Cisco

การตั้งค่า NTP ภายใน:

[Core เราเตอร์ 1 / Cisco 6509]:
มองออกไปยังเซิร์ฟเวอร์ NTP ภายนอกสองเครื่อง (ซึ่งเซิร์ฟเวอร์หลักไม่ตอบสนองต่อการโทร NTP)

[คอร์เราเตอร์ 2]: การ
ซิงก์กับคอร์เราเตอร์ 1 (หลัก), การทำงานเราเตอร์ภายนอก (รอง)

[อุปกรณ์เครือข่ายอื่น ๆ ของ Cisco]: การ
ซิงก์กับคอร์เราเตอร์ 1 (หลัก), คอร์เราเตอร์ 2 (รอง)

[โดเมนคอนโทรลเลอร์]:
กำลังซิงค์กับ Core เราเตอร์ 1

[ไคลเอนต์ windows / เซิร์ฟเวอร์ทั้งหมด]: การ
ซิงก์กับตัวควบคุมโดเมน

หากการจับเวลาไม่แม่นยำอย่างยิ่งนั้นสำคัญต่อภารกิจของคุณไม่ควรมองเห็นผลกระทบใด ๆ สำหรับผู้ใช้ของคุณนอกเหนือจากนาฬิกาของพวกเขาเปลี่ยนไป 2 นาที

ข้อยกเว้นที่เป็นไปได้คือถ้าพวกเขาประกาศว่าเซิร์ฟเวอร์ NTP ของคุณ "บ้า" เนื่องจากการเปลี่ยนแปลงครั้งใหญ่ (ซึ่งจะทำให้คุณต้องเริ่มบริการ NTP ใหม่บนระบบที่ได้รับผลกระทบเพื่อบังคับให้ซิงค์นาฬิกา - แม้ว่าคุณจะทำได้ ไฟดับ)

ในขณะที่คุณกำลังแก้ไขที่นี่เป็นตัวชี้อื่น ๆ :

• คุณควรกำหนดค่าระบบของคุณที่ดูแหล่งข้อมูล NTP ภายนอกเพื่อดูเซิร์ฟเวอร์ (4-5) แห่งจากโครงการพูล NTP สาธารณะ - โดยเฉพาะอย่างยิ่งที่เหมาะสมทางภูมิศาสตร์
  การมีเซิร์ฟเวอร์ NTP มากขึ้นอนุญาตให้อัลกอริทึมการเลือกละเว้นสิ่งที่ทำให้แตก / บ้าและทำให้นาฬิกาของคุณแม่นยำ

• ในการกำหนดค่าอย่างคุณฉันจะชี้Core Router 1และCore Router 2แหล่งที่มาของนาฬิกาภายนอก (ไม่แต่ละอื่น ๆ )
  สิ่งนี้จะช่วยให้คุณมีสองนาฬิกาที่มีการซิงโครไนซ์อิสระซึ่งควรอยู่ภายในไม่กี่มิลลิวินาทีจากกัน แต่ถ้าหนึ่งในเราเตอร์ของคุณเสียสติ

• ในการกำหนดค่าเช่นเดียวกับคุณฉันจะชี้ไปที่ตัวควบคุมโดเมนที่เราเตอร์หลักทั้งสอง (อีกครั้งเพื่อป้องกันการลงหนึ่ง)
  หากคุณต้องการป้องกันนาฬิกาที่บ้าคุณควรเพิ่มเซิร์ฟเวอร์ NTP ที่มีสิทธิ์ตัวที่สาม (หรือทำรายการหนึ่งในเราเตอร์ของคุณสองครั้งและหวังว่าจะไม่ใช่เซิร์ฟเวอร์ที่เสียสติ ... )

ค่าเริ่มต้นของโดเมนสำหรับ Windows อนุญาตให้ปิดเวลา +/- 300 วินาทีก่อนที่การรับรองความถูกต้องจะหยุดทำงานดังนั้นคุณจะไม่เป็นไร ต่อไปนี้เป็นบทความที่ครบถ้วนสมบูรณ์เกี่ยวกับเรื่องนี้ซึ่งกล่าวถึงวิธีเปลี่ยนความอดทนของคุณในการเบี่ยงเบนเวลาด้วย GPO ระดับโดเมน มันจะอยู่ที่Computer Configuration-> Policies-> Windows Settings-> Security Settings-> Account Policies-> ->Kerberos PolicyMaximum tolerance for computer clock synchronization

ที่กล่าวว่าคุณควรจะมีแหล่งที่มาของไทม์ (ซึ่งมักจะเป็นตัวควบคุมโดเมนถือหน้าที่ emulator PDC ในโดเมน Windows) ซิงค์กับภายนอกแหล่งที่มาเช่น ntp ข้อมูลเพิ่มเติมจากเปอเรเตอร์ที่นี่pool.ntp.org

และในการตอบสนองต่อคำตอบอื่น ๆ นี้ไม่จำเป็นต้องหยุดทำงาน เพียงแค่ชี้แหล่งเวลาที่เชื่อถือได้ของคุณอีกครั้งและคอมพิวเตอร์ที่เข้าร่วมโดเมนที่เหลือจะซิงค์ตัวเองเช่นกัน

แก้ไข: เนื่องจาก @ voretaq7 พูดถึงมันฉันควรชี้ให้เห็นว่าเรามีเพียงระบบเดียวที่เห็นแหล่งเวลาภายนอกโปรแกรมจำลอง PDC ของเรา อุปกรณ์ทั้งหมดรวมถึงเกียร์เครือข่ายจะซิงค์กับมัน เราพบว่านี่เป็นการจัดเรียงที่ดีกว่าเนื่องจากอุปกรณ์เครือข่ายจะไม่ปฏิเสธการตรวจสอบสิทธิ์เนื่องจากการเอียงเวลา แต่คอมพิวเตอร์ที่เข้าร่วมโดเมนโดยใช้ Kerberos (ซึ่งเป็นทั้งหมดสำหรับพวกเรา) จะ ดังนั้นในเรื่องนี้จึงไม่สำคัญอย่างยิ่งที่จะต้องมีเวลาที่ถูกต้องในอุปกรณ์เครือข่ายของเรา แต่เป็นระบบ Windows ของเราเป็นสองเท่าเช่นกันเพราะเราใช้ซอฟต์แวร์รักษาเวลาของเราสำหรับพนักงานรายชั่วโมงบนเซิร์ฟเวอร์ Windows ด้วย

ไคลเอนต์ Windows จะไม่มีปัญหาในการบันทึกใด ๆ คำอธิบายของMaximum tolerance for computer clock synchronizationนโยบายค่อนข้างผิดพลาดในทุกวันนี้

ลูกค้าที่มีนาฬิกาผิดพลาดอย่างรุนแรงจะได้รับการตอบสนองจากเซิร์ฟเวอร์ที่สร้างการเอียงระหว่างนาฬิกาของพวกเขา - การรับรองความถูกต้องแล้วดำเนินการตามปกติ

คำอธิบายนั้นถูกต้องเกี่ยวกับสิ่งหนึ่ง นโยบายยังคงตั้งเวลาสำหรับการโจมตีซ้ำอย่างมีประสิทธิภาพ แต่ในแง่ของปริมาณข้อมูลที่ถูกกฎหมายการสื่อสารนั้นแข็งแกร่งเมื่อเทียบกับนาฬิกาขนาดใหญ่

ดูบทความ MS KB นี้สำหรับข้อมูลเพิ่มเติม

คุณอาจต้องการพิจารณาเซิร์ฟเวอร์ NTP อื่นที่ไม่ใช่อุปกรณ์หลักของซิสโก้ของคุณ: การรับส่งข้อมูล NTP ที่ร้ายแรงจะให้โหลด cpu สูงบนอุปกรณ์ของซิสโก้ซึ่งอาจทำให้เกิดปัญหาเครือข่าย

เห็นได้ชัดว่าคุณไม่สามารถกำหนดเวลาหยุดทำงานเล็กน้อยได้ใช่ไหม ฉันจะผลักดันการหยุดทำงานเพื่อเริ่มบริการ ntp ใหม่บนเซิร์ฟเวอร์ที่ได้รับผลกระทบทั้งหมด หากเป็นไปไม่ได้คุณต้องรอสักครู่

(ฉันจะทำให้ความคิดเห็นนี้เกี่ยวกับคำตอบของ vortaq7 แต่ฉันคิดว่ามันสมควรได้รับการทำซ้ำในสิทธิของตนเองเนื่องจากหลายคนทำผิดนี้)

คุณต้องการแหล่งเวลาอย่างน้อย 3 (ดีกว่า 4-6) สำหรับอัลกอริทึมของ NTP เพื่อให้บรรจบกันอย่างถูกต้องในเวลาที่ถูกต้อง หาก NTP มีแหล่งข้อมูลหลักเพียงสองแหล่งเท่านั้นและแหล่งข้อมูลเหล่านั้นมีจำนวนพอสมควร NTP จะไม่มีทางรู้ว่าแหล่งข้อมูลใดน่าเชื่อถือ

ความช่วยเหลือที่สำคัญที่สุดสำหรับฉันในการทำความเข้าใจนี้คือแผนภาพในหน้า 9 ของดวงอาทิตย์พิมพ์เขียว "การใช้ NTP เพื่อควบคุมและซิงโครไนซ์นาฬิการะบบตอนที่ III: การตรวจสอบและแก้ไขปัญหา NTP" เอกสารนี้หายไปจากมุมมองเมื่อ Oracle ซื้ออาทิตย์ แต่คุณยังสามารถค้นหาได้ในเครื่อง Wayback นอกจากนี้ยังมีเว็บเพจยอดนิยมมากมายหากคุณค้นหาชื่อเรื่อง