微軟帝國 : [轉貼]Windows 的網際網路時間 (自動網路對時)

最近遇到一個特別的案例，在 Windows AD 網域中的工作站時間都是跟 DC Server 進行同步，所以工作站的時間都是相同，這是毋庸置疑的。而這個案例特別的地方在於： DC Server 的時間不正確，導致下面工作站得時間全部都跟中原標準時間差了快 10 分鐘，有 AD 驗證的 NAS 因為時間差距太大則不允許登入。

在一般的狀況下會使用 NTPClock 進行校時，但這樣作會有幾個缺點：

1. 需要佔用一個遠端桌面的連線才能常駐
2. 有被害妄想症的客戶會持續轟炸並質疑
3. 在嚴謹的環境中無法隨意下載軟體至伺服器上

第一點還好解決，可利用 w32tm 將其變更為 Service 即可，就不會佔用連線了。而第三點則是在很多資安嚴謹的環境中常遇到的現象，基於管理政策，並不是所有的 Server 都可隨意下載或放置軟體，要不就是要跑簽呈，會耗費許多時間。可以為了這個小東西特別准許嗎？一定是不行的！如果制度訂出來後卻有「例外」或是「開恩」的情況，那制度的落實就會有問題。(第二點我們後面談 ^^")

咳咳咳…扯遠了，其實 Windows 就有內建校時的功能，而且是簡單的幾行指令就可以完成。將指令放置在網域控制站或伺服器上定時(每五分鐘或十分鐘)跑排程，時間就可以輕鬆同步啦。運用 w32tm 進行時間校對只需以下指令：

:: 設定要同步的 NTP Server
w32tm /config /update /manualpeerlist:ntp.ntu.edu.tw
:: 開始進行同步
w32tm /resync

是的，就兩行指令，儲存為 bat 後設定排程即可定期校時了。

驗證方法
可先將該指令儲存為 bat 後放至於桌面上，然後將時間調慢 1 小時 (甚至一天或一個月) 之後，馬上執行 bat，幾秒鐘後時間就恢復正常了。

應用情境
這裡舉出幾個以前 TigerLin 使用的時機，讓大家以後遇到時也可以應用

• 網域控制站自動校時
  這是最常使用的情境。網域控制站掌管整個網域的時間，因此網域的時間準確度特別重要。
  
  
• 遠端桌面連線數有限
  無法固定由一個帳戶開啟並執行 NTPClock 時，就會覺得這個指令很「感心」了。
  
  
• 獨立伺服器的校時
  該指令可取代 NTPClock 的功能，因此後面 TigerLin 都很習慣使用此方式校時。
  
  
• 客戶有被害妄想症時
  這個...是很特別的情境，相信有經驗的都會遇到這種客戶：做什麼動作都要問清楚就算了(廠商有告知的義務)，放個執行檔就開始懷疑並強烈質疑「安不安全？有沒有木馬？不會有風險嗎？怎麼能保證？」之類的問題...倒楣一點 Server 出事了還會怪到自己頭上。TigerLin 就被一個客戶因為校時軟體盧了一個多小時...因此！！使用 Windows 內建的校時方法，總該沒話說了吧 Orz…
  

補充說明
老大
Will 針對我這個方案進行了更深入的研究，並將整個 Windows Time Service Tools and Settings 給看完 (目前時間是晚上十一點半) 且分享出心得了，原本後面想補充的東西一個晚上被他補充完了 XD~ 想更深入了解的人可以到 Will 這邊進行更進階的修練唷 :P

P.S TigerLin 的兩行指令碼被改成一行了，這根本已經是極限無法再改了啊 XD~

相關連結
w32tm http://technet.microsoft.com/en-us/library/bb491016.aspx
Windows Time Service Tools and Settings http://technet.microsoft.com/en-us/library/cc773263(WS.10).aspx

「時間」對任何事情來說都是十分重要的事，當然對作業系統來講也不例外，但你可不要想說「時間」是一件很容易的事，其學問可大著呢！今天我就來分享幾個校正 Windows 作業系統時間的小技巧。

校正的方法很多，我只分享幾種：

1. 透過 Windows 內建的校時服務自動校時

在螢幕右下角透過滑鼠雙擊開啟「日期與時間」的內容

然後切換到「網際網路時間」頁籤，預設在單機且沒有網域(Domain)的情況下是設定好的，所以主機都會自己自動校時，其實不需要特別設定。

但如果在有網域的情況下，預設網域成員電腦都會自動跟 網域主控站(Domain Controller；DC) 進行校時，所以也不需要特別設定。

但是若是網域主控站自己需要校時呢？就不能用這招了。

2. 透過 國家時間與頻率標準實驗室所提供的 NTP 校時軟體進行校時

我想這也是一般人最常用的校時軟體，如果在網域主控站需要臨時校正系統時間時，可以用這套工具幫你校時。

但總不能登入網域主控站後永遠不登出吧，難道重開機之後還要自己登入再執行 NTPClock.exe 嗎？這時就可以考慮第三種方法。

3. 使用 w32tm.exe 工具程式搭配批次檔進行時間校正

這部分在 TigerLin 的【 [Windows] w32tm 應用：簡單的 Script 讓 Windows 進行時間同步】文章已有詳細說明，在此不多贅述。但在
TigerLin 的文章中並沒有提到採用 w32tm.exe 的限制，因此稍微做點補充：

如果你的電腦沒有加入任何網域，而遠端時間伺服器與本機的時間差距又超過 54,000 秒時(共 15 小時)，就會導致 “電腦並未 resync，因為要求的時間變更太大。”的錯誤：

這時要透過 w32tm.exe 工具修正系統時間就必須修改機碼才能解決，你可以透過以下指令查詢設定值：

機碼位置在：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config

• MaxNegPhaseCorrection (負差校正) - 若網路時間比本地時間慢超過這個秒數就不自動校正
• MaxPosPhaseCorrection (正差校正) - 若網路時間比本地時間快超過這個秒數就不自動校正

若要設定成無上限，可以設定成該 DWORD 的最大值 FFFFFFFF (十六進位值) ( 有 8 個 F )

修改完機碼值之後，必須再執行一次以下指令，才能讓新的機碼生校：

w32tm /config /update

最後再執行一次 w32tm /resync 指令即可完成時間校正的動作。 備註：預設網域成員電腦的 MaxNegPhaseCorrection 與 MaxPosPhaseCorrection 已經是無上限，因此無須特別修正。

而當我再深入研究後才發現，原來電腦根本不必設定這個校時的批次檔排程，只要機碼設定正確就會自動校時了。首先，我先分享使用
w32tm.exe 工具的注意事項：

1. 在網路連線透通的情況下，基本上不需要指定 /manualpeerlist 參數，只有在 Firewall 規則設定的特別嚴謹的情況下才需要自行指派 NTP 伺服器位址。
2. w32tm /config /update 命令是當 Windows Time 伺服器的設定值需要變更時才執行的，並不需要每次都執行。
3. 手動指派 NTP 伺服器位址時，可以設定不止一組，這樣也許可以增加校時的有效性，當第一台 NTP 校時伺服器掛掉時會自動切換到第二台進行校時。
4. 選用 NTP 校時伺服器時，建議可以多加利用 國家時間與頻率標準實驗室所提供的 NTP 伺服器清單進行設定，網址如右： http://www.stdtime.gov.tw/chinese/Bulletin/NTP%20promo.txt

若網域成員電腦不信任網域主控站的時間設定時，可以透過以下指令進行設定：

w32tm /config /update /manualpeerlist:"time.stdtime.gov.tw clock.stdtime.gov.tw tick.stdtime.gov.tw tock.stdtime.gov.tw watch.stdtime.gov.tw ,0x1"

這裡神奇的 ,0x1 就是關鍵所在，加上這個設定就可以讓網域成員電腦每小時(預設值)自動校時一次，這是我辛苦看完 Windows Time Service Tools and Settings 的研究成果。原理說明如下：

在 Windows Time Service Tools and Settings 文件中的 NtpServer 機碼說明有一段非常重要的描述：

在單機模式下 (即未加入網域)，預設值為 time.microsoft.com,0x1，所以電腦會自動校時，但預設 7 天才會自動校時一次，如果嫌時間太長可以考慮修改 NtpClient 機碼的 SpecialPollInterval 參數。若是加入網域的成員電腦設定之後，預設是 1 個小時自動校時一次。

※ 2009/6/16 更新

• 網域主控站的設定請參閱 網域主控站(DC)如何正確設定 Windows 時間服務 (w32tm) 文章。

相關連結

• [Windows] w32tm 應用：簡單的 Script 讓 Windows 進行時間同步
• Windows Time Service Tools and Settings

在我之前的 校時文章中已經提及很多關於 Windows 自動校時的方式，但當時對網域主控站的校時方式的說明有點問題，我已經修改該篇文章，並以這邊文章專講「網域主控站」的校時設定。

如果之前已經參照改文章修改機碼設定，想回復 Windows Time Service 的預設值可參考以下指令：

net stop w32time
w32tm /unregister
w32tm /register
net start w32time

以下指令我都將以 國家時間與頻率標準實驗室所提供的 NTP 伺服器清單作為範例進行設定。

在網域主控站(PDC)手動設定校時伺服器

以下指令應該才是在網域主控站「正宗」的校時設定指令，跟單機或網域成員電腦的設定不一樣。

w32tm /config /manualpeerlist:"time.stdtime.gov.tw clock.stdtime.gov.tw tick.stdtime.gov.tw watch.stdtime.gov.tw" /syncfromflags:manual /reliable:yes /update

顯示本地時間與目的時間的時間差

w32tm /stripchart /computer:tick.stdtime.gov.tw /samples:30 /dataonly

以上這行指令就可以看出一些 Windows 時間服務的執行細節，像我故意修改我本機的時間調慢一分鐘，然後執行上述指令時，你可以看出本地的時間其實是慢慢的跟目的電腦(tick.stdtime.gov.tw)趨近，如下：

>w32tm /stripchart /computer:tick.stdtime.gov.tw /samples:30 /dataonly
Tracking tick.stdtime.gov.tw [220.130.158.71].
Collecting 30 samples.
The current time is 2009/6/16 下午 10:39:13 (local time).
22:39:13, +62.1259256s
22:39:15, +62.0827790s
22:39:17, +62.0437263s
22:39:19, +62.0123067s
22:39:21, +61.9782861s
22:39:23, +61.9456177s
22:39:25, +61.9136171s
.......

這也是使用 Windows 時間服務校時的好處，他不會像使用 NTPClock.exe 工具很暴力的將你的時間直接調回正確的時間，進而影響原本系統的運作或造成事件記錄的時間錯亂，有時後大幅度的調整時間會讓應用程式直接掛點(Crash)，你可以試試開啟 Visual Studio 2008 之後手動調整時間，他真的立即掛給你看，然後你可以看看事件檢視器中的事件寫些什麼。

所以只要是「伺服器層級」的電腦，建議都使用 Windows 內建的校時服務進行校時工作！

2011-08-10 補充

下圖是透過 Windows Server 2008 R2 的 BPA (Best Practics Analyzer) 提醒的訊息，供參考：

相關連結

• 國家時間與頻率標準實驗室
• Administering the Windows Time Service
• 
  Configuring a time source for the forest
• Configure the Windows Time service on the PDC emulator
• Windows Time Service Tools and Settings
• How to configure an authoritative time server in Windows Server