Zeitsyncproblem

[Magroll 10]

Die Memberserver bekommen via Policy den Eintrag des DCs (siehe Threadstart). Mich wundert das ich diesen Eintrag in der Config nicht sehe, das ist alles. Auf den meisten Servern läuft das ja auch seit Monaten problemlos.

bearbeitet 13. Januar 2016 von Magroll

[NorbertFe 1.799]

Liest du bitte mal den Link? Dann würde dir auch klar werden, dass du unnütze Sachen konfigurierst, bzw. wenn du es unbedingt von Hand konfigurieren willst, dann solltest du auch alles entsprechend konfigurieren. Da das aber nicht der Fall ist, würde ich dir empfehlen den ARtikel noch gründlicher zu lesen, denn dann findest du sicher deinen Denkfehler. ;)

 

Bye

Norbert

[Magroll 10]

Kennst du: http://www.gruppenrichtlinien.de/artikel/zeitsynchronisation-der-domaene-w32time-zeitserver-per-gpo/ ?

 

Bye

Norbert

Der einzige Unterscheid ist der fehlende WMI Filter und das ich nicht auf time.windows.com referenziere, sondern auf dc01.meinedomain.com und die externe URL für den Zeitdienst auf dem DC ist eine andere, aber das sollte ja wohl egal sein, welchen Zeitanbieter ich nutze, solange er stabil läuft und die richtige Zeit ausgibt, von daher sehe ich das als Standard an und nicht als "konfus".  :p

bearbeitet 13. Januar 2016 von Magroll

[NorbertFe 1.799]

Na dann viel Erfolg. ob du da time.windows.com oder Pusteblume.deinedomain.tld hinpinselst ist egal. Also warum ändern?

[Magroll 10]

Ja das probiere ich gleich aus.

Aber wenn ich time.windows.com anpinge bekomme ich 23.99.222.162 als Antwort. Da können die Memberserver nicht drauf zugreifen. Wenn das AD da intern auf Port 123 was umbiegt, damit das auf dem PDC landet, ist mir das zwar unklar, aber wenn's funktionieren soll...

[NorbertFe 1.799]

Boah. Bist du sicher, dass du den Link gelesen und verstanden hast? Der EINZIGE Server der die Zeit von einer externen Quelle zieht ist der PDC Emulator. ALLE anderen DCs (so du denn welche hast) holen sich die Zeit vom PDC EMulator (und zwar nicht PER NTP Konfig, sondern per NT5DS. Deswegen sollte man auch verstehen, wozu man einen WMI Filter einsetzt. ALLE Member Server holen sich die Zeit von ihrem Anmeldeserver ebenfalls nicht per NTP Konfig sondern per NT5DS. Also ist es vollkommen Latte, was du da per GPO an irgendwelche PCs und Server als Timeserver verteilst. Aber ne schon klar. ;)

[Magroll 10]

Also, als erstes bin ich Dir dankbar, das Du versuchst mir zu helfen, allerdings verstehe ich ein / zwei Zusammenhänge noch nicht ganz:

 

1. Also ist es vollkommen Latte, was du da per GPO an irgendwelche PCs und Server als Timeserver verteilst

- Dann ist es ja auch egal ob da time.windows.com, oder dc01.meinedomain.com drinsteht, das regelt dann eh das NT5DS Protokoll?

2. Du meinst also, wenn ein Memerserver sich meinen zweiten Domaincontroller als anmeldeserver rauspickt will er sich von dort auch die Zeit holen und das schlägt fehl, weil der ja nicht der PDC ist?

- Wenn das so ist, verstehe ich auch den Sinn des WMI Filters, welchen ich zur Zeit nicht habe, beide DCs haben die gleiche NTP Konfiguration. Das muss ich anpassen und dann weiter testen.

 

Danke,

Mag

[NorbertFe 1.799]

Du meinst also, wenn ein Memerserver sich meinen zweiten Domaincontroller als anmeldeserver rauspickt will er sich von dort auch die Zeit holen und das schlägt fehl, weil der ja nicht der PDC ist?

Nein, das meine ich nicht. Denn das wär ja BS. Du hast ja nur einen PDC EMulator. Du mußt aber deinen anderen DC eben anders konfigurieren als den PDC Emulator (quasi identisch zu allen anderen Servern und PCs)

 

Wenn das so ist, verstehe ich auch den Sinn des WMI Filters, welchen ich zur Zeit nicht habe, beide DCs haben die gleiche NTP Konfiguration. Das muss ich anpassen und dann weiter testen.

Na fällt dir langsam was auf?

 

Bye

Norbert

[Magroll 10]

Wenn ich die Anleitung auf http://www.gruppenrichtlinien.de/artikel/zeitsynchronisation-der-domaene-w32time-zeitserver-per-gpo/ exact abbilde, bleiben die Policies "Windows NTP-Client aktivieren und Windows NTP-Server aktivieren" in der PDC Policy deaktiviert?

Der NTP Serverdienst läuft dann aber trotzdem?

 

"Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, wird die Uhrzeit des lokalen Computers nicht mit NTP-Servern synchronisiert."

"Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, kann der Computer keine NTP-Anfragen von anderen Computern verarbeiten."

bearbeitet 13. Januar 2016 von Magroll

[NorbertFe 1.799]

Bei mir schon. Was spricht gegen einen kurzen Test bei dir?

[Magroll 10]

Auch, wenn ich nicht jedes Detail der Konfiguration verstehe, funktioniert zur Zeit alles so wie gewünscht!

 

Vielen Dank für Deine Hilfe,

Mag

[NorbertFe 1.799]

Was genau hast du denn jetzt gegenüber deiner Ursprungskonfiguration geändert? Wäre ja fürs "Verständnis" und Nachvollziehen ganz hilfreich zu wissen, oder? Und wenn wir schon dabei sind. Wenn du den Link gelesen hast, und aber immer noch Verständnisprobleme haben solltest (klingt jedenfalls immer noch so), wo genau hakt es denn? Man könnte ihn ja ergänzen ;)

 

Bye

Norbert

[Magroll 10]

Im Grunde bekommt mein zweiter Domain Controller jetzt eine andere NTP Konfiguration via Policy, nämlich die, welche alle anderen Memberserver auch bekommen. Nur der PDC bekommt über die WMI Filterung die NTP Server Konfiguration.

 

Warum das jetzt aber das Problem gelöst zu haben scheint, erschließt sich mir aber nicht ganz:

- Woher genau wissen die Clients an welchen Server Sie sich wenden sollen? Aus dem AD?

- Was genau ging dabei vorher schief?

 

Gruß,

Mag

[NorbertFe 1.799]

Hab ich doch vorhin im Thread geschrieben und auch im Link habe ich die Funktionsweise erklärt. Es ging schief, weil eben nur der pdc Emulator die Zeit von einer externen Quelle holt. Die anderen Dcs werden erst als valide timeserver erkannt, wenn sie die Zeit vom dc geholt haben. Man kann das alles auch aushebeln und manuell regeln, aber dazu müsste man eben verstanden haben, wie die Hierarchie dabei funktioniert. Und da du ein klassisches Beispiel für "verbastelte" konfig bist (wie im Artikel erwähnt), spare ich mir meist riesige Erklärungen, denn wenn man es richtig machen würde bzw. eigentlich bis auf den pdc Emulator gar nichts tun würde, würde es einfach funktionieren. Ob dir und anderen das gefällt ist dann eine andere Sache. ;)