Como configurar o Server 2008r2 como um servidor NTP quando não está em um domínio ou em um DC

Question

Aqui está a configuração: Temos servidores Windows Server 2008R2 nos sites dos clientes. Por motivos de separação de confiança, essas máquinas não são membros do domínio do cliente. Eles também não estão agindo como um host de domínio, eles são casos estritamente autônomos. Esta configuração não pode ser alterada.

Os servidores Windows conectados à rede do cliente recebem atualizações NTP por meio do "w32tm". Esses servidores também são conectados a uma rede Stub privada com máquinas adicionais que não estão na rede do cliente. Eu gostaria de fornecer o serviço NTP aos hosts no stub para fornecer uma melhor sincronização de log.

Toda a documentação que posso encontrar on-line parece assumir que os Windows Servers são controladores de domínio.

Eu só quero fornecer o serviço do servidor NTP para a rede stub, se possível. Não deve ser acessível a partir da rede do cliente.

Qual é a melhor maneira de configurar?

    

Answer 1

Se você usar um servidor de horário na rede do cliente para atualizações de horário, não será possível bloquear o serviço NTP de ser acessível a partir dessa máquina, pois o NTP é um protocolo bidirecional que usa a porta 123 / udp.

Se você quiser bloquear qualquer máquina na rede do cliente de acessar o serviço NTP em seu servidor, você terá que escolher um servidor de horário externo; por exemplo. uk.pool.ntp.org e configure o firewall do servidor para bloquear todo o acesso à porta 123 / udp da rede do cliente.

(Isso teria sido um comentário sobre a resposta da PaterSiul, mas meu representante não é alto o suficiente para comentar!)

    

Answer 2

O NTP Server não é uma função de um controlador de domínio e nem mesmo um recurso do Windows Server sozinho.

O serviço de tempo do Windows (w32time) tem cliente e servidor integrados em todos os computadores com Windows. O lado do servidor está desativado por padrão e ativado automaticamente no Windows Server durante dcpromo .

O estado do servidor é controlado por meio da chave do Registro:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer]
"Enabled"=dword:00000001

Basta executar cmd como administrador e usar comandos:

reg add HKLM\system\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer \
    /v Enabled /t REG_DWORD /d 0x1 /f
w32tm /config /update

Você instantaneamente terá um servidor de horário compatível com NTPv3 na sua máquina Windows.

    

Answer 3

Experimente techrepublic ou, para um pouco mais de detalhe, este post no blog da Microsoft .

Atualização: Esa Jokinen tem a parte principal dos meus links em sua resposta.

Para responder a segunda parte, que eu primeiro perdi: Eu não sei de uma maneira de restringir o serviço de tempo do Windows para uma interface ou um intervalo de ip diretamente. Eu resolveria isso com uma regra de firewall:

netsh advfirewall firewall add rule name="NTP" dir=in action=allow protocol=UDP localport=123 remoteip=157.60.0.1,172.16.0.0/16 enable=yes

" remoteip = 157.60.0.1,172.16.0.0/16 " é apenas um exemplo, o resto deve funcionar para o que você deseja, assumindo que você não alterou a política padrão de bloquear para aceitar .