Gonsystem: Servidor de hora de Windows

miércoles, 19 de enero de 2011

Servidor de hora de Windows - NTP

Un factor muy importante en una infraestructura Microsoft es tener bien configurado el servidor de hora. Un desfase de desincronización de 5 minutos entre un hosts y el servidor de tiempo puede provocar muchos problemas de autentificación.

Nuestro servidor principal de tiempo puede sincronizarse de 3 maneras diferentes para actualizar su hora:

- Contra un servidor de hora en internet

- Contra la un reloj conectado al ordenador.

- Contra el reloj interno de la CMOS

El proceso de polling del servicio w32time se repite en cada cliente cada 45 minutos por defecto. Si después de 3 intentos consecutivos se determina que está funcionando bien, se va incrementando hasta intervalos de 8 horas.

W32Time es el servicio necesario para el protocolo de autentificación Kerberos de Microsoft.

Las estaciones de trabajo se sincronizan contra el Maestro de operaciones (PDC emulator), haciendo un w32tm /monitor nos indica fácilmente cual es.

Por defecto, todos los DC y, los sistemas miembros, sincronizan automáticamente la hora con la jerarquía de dominios del PDC del dominio raíz del bosque. El PDC del dominio raíz del bosque es el único DC que se debería de configurar para sincronizar la hora desde uno o más recursos de hora configurados manualmente.

El resto de los equipos y servidores miembros deberían de utilizar la jerarquía de dominios, ya que reduce la sobrecarga administrativa y asegura que la hora esté completamente sincronizada con el dominio (para evitar errores de Kerberos por desincronización de la misma)

Nuestro sevidor central de la hora normalmentes se sincronizar contra un servidor externo a través del servicio SNTP (Simple Network Time Protocol). Para ello nuestro Firewall debe permitir esta consulta por el protocolo UDP puerto 123 tanto de entrada como de salida.

-Una solución sencilla para mantener la hora de todos los clientes en la red sincronizado sería

Net Time \\ServidorDeHora_DC /set /y

Este comando a mi me sirve de gran ayuda da la hora de sincronizar, se puede añadir en un script de inicio para que todas las estaciones tengan sincronizada la misma hora. Fuerza un equipo para sincronizar su hora con un determinado equipo.

- Si necesitamos sincronizar nuestro host y no podemos esperar a que lo haga de manera automatica contra nuestro Emulador de PDC debemos ejecutar el siguiente comando:

w32tm /resync /rediscover

- Para consultar quien es nuestro servidor sntp principal de hora (PDC)

Net Time /querysntp

- Para cambiar nuestro servidor de tiempo "extreno" o SNTP interno, se puede poner más de uno. Esto yo solo lo haría en nuestro servidor referente de nuestro dominio / red:

Net Time /setsntp:NuevoServidor

Este nuevo servidor debería ser una máquina en Internet que ofrezca este servicio.

- Restablece la hora de los equipos locales con el servidor de hora

w32tm /resync /rediscover

Para indicar contra que debe trabajar nuestro (en principio único) servidor Principal PDC (referente para el resto de servers) o máquinas que no sean de nuestro dominio:

w32tm /config /manualpeerlist:NTP_Server_IP_Address,0x8 /syncfromflags:MANUAL /update

Accediendo con el regedit, debemos tener configurada la clave de registro de la siguiente manera:

Type: NTP para nuestro servidor principal que sale fuera y las máquinas que no son mienbras del AD

Para saber si podemos llegar a nuestro servidor:

portqry –n time.windows.com –e 123 –p UDP

Type: NT5DS Para miembros de AD. Que irá acompañado del comando (Nunca en nuestro servidor referente de NTP de la red dominio).

La configuración cliente de sincronización de dominio automática pondríamos:

w32tm /config /syncfromflags:domhier /update

Para nuestro servidor referemte también podemos ver/modificar el servidor de tiempo manualmente en la clave de registro

Nos debemos asegurar que nuestro PDC principal tenga un 5 en el siguiente registro.

Announce flag values:

0 Timeserv_Announce_No, Reliable_Timeserv_Announce_No. The domain controller does not advertise time service.
1 Timeserv_Announce_Yes. The domain controller always advertises time service.
2 Timeserv_Announce_Auto. The domain controller automatically determines whether it should advertise time service.
4 Reliable_Timeserv_Announce_Yes. The domain controller will always advertise reliable time service.
8 Reliable_Timeserv_Announce_Auto. The domain controller automatically determines whether it should advertise reliable time service.
Flag 5 (1+4) means "The domain controller always advertises time service" and "The domain controller will always advertise reliable time service"
The default value for domain members is 10. The default value for stand-alone clients and servers is 10..

En nuestra GPO por defecto de los controladores de dominio deberíamos tener sin configurar

Explicación de los parametros:

/manualpeerlist nos dirá de donde sincronizar, servidores NTP.

/Syncfromflags puede ser "Manual" si no pertenece al AD y "domhier" cuando está en AD. Estos cambios debería hacer que el tipo pase de "NTP" si está fuera del AD a "NT5DS" cuando está en AD.

0x1: Si usamos nombre DNS para el servidor de tiempo. Si usamos IP se puede omitir.

Después de cambios importantes es recomendable

net stop w32time
net start w32time

w32tm /config /update

w32tm /resync /rediscover
w32tm /resync /force

Un comando que nos puede ser muy útil es el :

w32tm /monitor

Nos mostrará las diferencias de tiempo entre los DC de nuestro dominio.

W32tm /query /configuration : No mostrará las variables los valores que tienen configurados en el hosts que queramos consultar.