NTP - "Windows-Zeitgeber" Dienst in der Domain

[Rumak18 10]

Hallo,

 

in einer Active Directory Domäne (2008R2) wird die Zeitsynchronisierung ja an sich automatisch erledigt, WENN man den PDC entsprechend konfiguriert. Allerdings ergeben sich in diesem Konstrukt für mich zwei Fragen und ich hoffe Jemand weiß genau Bescheid.

1. Holt sich ein Mitgliedsserver seine Zeit vom "PDC" oder von einem Domaincontroller bei dem er sich authentifiziert? Das ist ja ein Unterschied, wenn man mehr als einen DC im Netzwerk hat.

2. MUSS der "Windows-Zeitgeber" Dienst auf den Mitgliedsservern laufen? In vielen Beschreibungen findet man die Information, dass dieser Dienst nur dann notwendig ist, wenn die Zeit über einen NTP Server IM INTERNET synchronisiert wird. 

[Nobbyaushb 1.359]

Moin,

 

Zeitgeber ist immer der PDC Master - gefragt wird aber jeder DC, deshalb sollte man das auf allen DC richtig einstellen.

 

Wenn das VM sind, die Sync mit dem Host abschalten, sonst bekommst du witzige Seiteneffekte.

 

Anleitung hier (für 2008R2):

http://www.it-training-grote.de/download/timesync.pdf

 

Hinweise zu VM:

http://www.faq-o-matic.net/2012/05/16/zeitsynchronisation-in-virtuellen-umgebungen/

 

;)

[NorbertFe 1.804]

Hallo,

 

in einer Active Directory Domäne (2008R2) wird die Zeitsynchronisierung ja an sich automatisch erledigt, WENN man den PDC entsprechend konfiguriert. Allerdings ergeben sich in diesem Konstrukt für mich zwei Fragen und ich hoffe Jemand weiß genau Bescheid.

1. Holt sich ein Mitgliedsserver seine Zeit vom "PDC" oder von einem Domaincontroller bei dem er sich authentifiziert? Das ist ja ein Unterschied, wenn man mehr als einen DC im Netzwerk hat.

Jeder DC holt die Zeit beim PDC Emulator, jeder Memberserver und PC holt sie von seinem Anmelde-DC.

 

2. MUSS der "Windows-Zeitgeber" Dienst auf den Mitgliedsservern laufen? In vielen Beschreibungen findet man die Information, dass dieser Dienst nur dann notwendig ist, wenn die Zeit über einen NTP Server IM INTERNET synchronisiert wird.

Natürlich muß der laufen, wie sollen sie sich sonst die Zeit holen? ;)

http://www.gruppenrichtlinien.de/artikel/zeitsynchronisation-der-domaene-w32time-zeitserver-per-gpo/

 

Bye

Norbert

[daabm 1.185]

(Gelöscht wegen Irrelevanz...)

bearbeitet 8. Juli 2015 von daabm

[Rumak18 10]

Danke euch! 

[Rumak18 10]

Jetzt muss ich doch noch nachhacken....wenn ein Mitgliedsserver seinen LOGON Server auf Zeit abfragt, macht er das ebenfalls über UDP Port 123 oder geschieht das im Kerberos Verfahren? Weil ja dann, auch jeder DC über UDP Port 123 zugänglich sein muss. 

[NorbertFe 1.804]

Kannst du doch ganz schnell nachprüfen. ;) Mach die Firewall an und NTP Port zu und versuch eine Zeitsync. ;) Übrigens wolltest du nachhaken, oder? ;)

 

 

Bye

Norbert

bearbeitet 14. Juli 2015 von NorbertFe

[daabm 1.185]

Norbert, Du sollst nicht bei jeder Hacke nachhaken :)

[NorbertFe 1.804]

Ach ich bin Optimist und der Meinung es bewirkt was ;)

[Rumak18 10]

Ach... erst habe ich gar nicht geschnallt was ihr meint  :confused:

 

Aber nun ists klar...  :jau:

[Rumak18 10]

Ok. Habe das nun überprüft. Es wird tatsächlich nur UDP Port 123 verwendet. Was ich aber nicht hinbekommen habe ist , dass die Clients auch mal einen "anderen" DC abfragen, ausser den PDC. 

[NorbertFe 1.804]

Warum sollten sie? Wieviele DCs hast du?

[Rumak18 10]

Hi,

 

zwei DCs. Warum Sie das sollten? Na, ich habe des Öfteren gelesen, dass sie das tun. Es wird beim "Logon" Server die Zeit abgefragt, welcher ja nicht unbedingt der PDC sein muss. Ich habe in meiner Domain ja nur einen PDC, so wie es das Modell vorschreibt. 

[NorbertFe 1.804]

Na wenn sich deine Clients halt immer am PDC Emulator anmelden. ;) Mußt du den halt mal ausschalten. ;)