Windows Server 2008 R2 (Agrupado) - Problema de sincronização de horário

Question

Eu tenho 2 servidores em cluster do Windows Server 2008 R2 Server sob o mesmo controlador de domínio.

No entanto, por estranho que pareça, os dois têm um tempo diferente (por segundos), quando preciso reiniciá-los para manutenção, tenho que ajustar manualmente o tempo em ambos os servidores. Ao olhar para o servidor NTP usando net time /querysntp , ambos os clientes apontam para o mesmo servidor de horário.

Quais seriam suas sugestões / dicas para sincronizar corretamente o tempo nos servidores? Eles são críticos para a operação e baseados em tempo pesado para os aplicativos que eles usaram.

    

Answer 1

Os objetivos da Microsoft ao criar sua implementação de tempo não incluem precisão no nível de segundos. A implementação explicitamente não oferece suporte a aplicativos sensíveis ao tempo , mesmo que configurado corretamente :

We do not guarantee and we do not support the accuracy of the W32Time service between nodes on a network. The W32Time service is not a full-featured NTP solution that meets time-sensitive application needs. The W32Time service is primarily designed to do the following:

• Make the Kerberos version 5 authentication protocol work.
• Provide loose sync time for client computers.

The W32Time service cannot reliably maintain sync time to the range of one to two seconds. Such tolerances are outside the design specification of the W32Time service.

Existem implementações alternativas com melhor precisão. Você pode querer dar uma olhada no ntp para Windows ou ptpd apenas para indicar duas possibilidades.

Você não escreve se o sistema é virtualizado ou físico. Se a manutenção do tempo virtualizada exigir considerações adicionais, como visto aqui e aqui por exemplo.

    

Answer 2

edit - para dispositivos Windows 10 ou Server 2016, agora há uma solução nativa definitiva disponível - veja esta resposta

Dependendo do tempo crítico de seus aplicativos, uma opção pode ser configurar o NT5DS em vez do NTP, se esses dois servidores membros do domínio não estiverem usando o NT5DS no momento.

Considerando que seus problemas são da ordem de segundos, isso pode não ajudar. Mas antes de sair para instalar outra solução, pode valer a pena investigar. Se ainda for muito lento, veja a resposta de ErikE.

Estávamos tendo problemas com nossos controladores de domínio em dois sites, sendo quase 3 minutos fora de sincronia. O Kerberos ainda estava funcional, mas alguns aplicativos auxiliares que usavam a autenticação do AD não eram. O problema era que dois controladores de domínio eram configurados para NTP (vindos da mesma fonte de tempo) e o restante estava configurado para NT5DS. Definir um DC para NT5DS (deixando uma fonte de tempo de domínio autoritativa) resolveu esse problema.

Ao reiniciar seus serviços de horário, todos os DCs e servidores membros restantes ficaram em linha com o minuto (não verificaram os segundos, já que não precisávamos) com o único DC agora atuando como a fonte de tempo do domínio ( & puxando via NTP de uma fonte de estrato superior)

Isso permite a (tênue) inferência de que o NT5DS pode fazer um trabalho melhor, mantendo os tempos entre servidores no mesmo domínio consistentes com o NTP.

Para configurar um servidor membro do domínio com NT5DS:

w32tm /config /syncfromflags:domhier /update

Em seguida, reinicie o serviço de horário:

net stop w32time && net start w32time