Zeitsync in einer Domäne

[-tpt- Xuthos 10]

Hi @All,

 

ich mach gerade was durch in Sachen Zeitsync in meiner W2k3 Domäne mit XP CLients.

 

Erstmal meine Wunschvorstellung:

Alle Clients ziehen sich über die GPO die Zeit von dem "primären" DC und der holt sich die Zeit aus dem Internet.

 

Also fing ich an Infos zu dem Thema aus dem Internet zuziehen u.a. aus diesem Forum und von M$. Dann konfigurierte ich alls nach den TechNote Artikeln und los... nichts passierte. Auf miener Firewall erschien keine Packet zur Zeitsync etc. Auch der Befehl w32tm /resync liefert nur einen Fehler.

 

Also weiter Suchen, siehe da, eine Hotfix zur w32tm.dll. Nun gleich Angerufen bei M$, Hotfix bekommen und eingespielt nichts.

Nun war es Zeit den Support von M$ einzuschalten, da schon Beschwerden von den Usern kam. Der Support verlangt alle möglichen Infos und das war's.

 

Ich setzte mich nun hin und installierte einen neuen W2k3 Server nicht in der Domäne und siehe da, da funzte es. Nun schnell eine DC darauf installiert und der Resync lief immer noch. Also ab in die GPO und Windows Zeitdienst für's Internet konfigurieren - Fehler war da.

Das kann doch nicht wahr sein oder? Ab zum poduktiven DC und die GPO verändert (Windows Zeitdienst nicht konfigureiren gesetzt) und sofort ziehen die Registry Einstellung und der Sync lief los. Keine Fehler mehr auf dem DC Server.

 

Doch halt, was war da auf meiner Firewall los. Die DC's syncronisierten mit dem Internet aber versuchten sie auch mit ein paar APIPA Adressen (169.254.x.x) zu syncronisren.

Der M$ Support hatte immer noch keine Ahnung...

 

Also abin die GPO's und schauen, was es noch seine kann und da war doch noch etwas. Hab ich aber auch nur wieder durch Zufall gefunden. In den NTPClient einstellungen gibt es das Feld Typ. Hier kann man entweder NTP (für nicht DomClients, NT5DS für DomClients oder "Alle" auswählen. Der Wert war "Alle", mit NT5DS waren plötzlich keine Meldungen mehr auf der Firewall.

 

Was kann das sein? Meine Erklärung:

Die meisten Notebooks bei uns haben min. 2 Netzwerkkarten die mit DHCP konfiguriert sind. Nun versucht das Notebook auf allen Leitungen den Zeitserver zu kontaktieren und somit kommt eine Anfrage von 169.254.x.x -> zum NTP Server, auf Grund des "Alle", Antwortete dieser Brav und schickt eine Antwortpacket an 169.254.x.x. Da dies keine private Adresse ist, wird diese ins Internet geroutet und schlägt auf die Firewall auf.

 

M$ Support freute sich, für mich, doch ich darf nun diesen Call zahlen... Super.

 

Aber das war es noch nicht, denn die Clients melden

 

Ereignistyp: Warnung

Ereignisquelle: W32Time

Ereigniskategorie: Keine

Ereigniskennung: 27

Datum: 11.01.2005

Zeit: 12:57:51

Benutzer: Nicht zutreffend

Computer: PCKLIER

Beschreibung:

Zeitanbieter "NtpClient": Die vom Domänencontroller <server> empfangene Antwort enthält keine Signatur. Die Antwort wurde eventuell gefälscht und wird daher ignoriert.

 

In der Registry ist der W32Time Dienst auf MS Seite noch eingestellt und daher kommt auch ein Fehler beim Ausführen von "NET TIME" in der CMD-Box.

 

Also anscheinend Ziehen die GPO's nicht richtig oder garnicht auf den Clients. Kennt jemand das Problem?

 

Hoffe man kann etwas verstehen, von meinen Problemen und Lösungen.

 

Gruß

 

Sven

[jinx 10]

kuck mal unter "NTP per GPO zuweisen" heute 11:45h. vielleicht können wir ja gemeinsam eine Lösung finden.

[jinx 10]

ich habe festgestellt, dass der Wert unter HKLM\CurrentControlSet\Services\W32time\Parameters\ntpserver durch die GPO nicht verändert wurde. Mit einem Startscript in der gleichen GPO habe ich die neuen Zeitserver zugewiesen - und es funzt! :D

[mp80 10]

hallo,

hast du jetzt schon eine lösung gefunden.

cu michael

[lefg 276]

Hallo,

 

habe ich ich es richtig verstanden? In einer W2k/W2k3-Domäne sysncronisieren die Clients die Zeit mit dem DC nicht automatisch?

Da läutet bei mir eine Glocke mit der Gravur Namensauflösung. Funktioniert diese oder nicht.

Ein Indiz für eine nichtfunktionierende Namensauflösung ist eine lange Anmeldezeit der Clients an der Domäne. Allerdings zieht die Änderung der GPO auf dem DC dann auch nicht an den Clients.

 

Gruß

Edgar