Windows2012R2里没有了internet时间，需要使用另外的方式去做时间同步

image

下面分两个情况

两个情况，两个情况都需要用修改组策略的方式来做

情况一

没有Windows域环境

集群中的每个服务器都要能上网，每个服务器都要执行下面的操作

开启 NTP Client 服务

1、打开 powershell 终端， 输入：gpedit.msc，打开组策略管理器

2、执行上述命令后，计算机策略对话框打开，按照如下路径 计算机配置\管理模板\系统\windows 时间服务\时间提供程序 找到服务器设置文件

image

3、双击 配置 Windows NTP 客户端，显示 配置 Windows NTP 客户端

4、将 Ntp Server项，输入将要同步到的时间服务器IP地址（这里输入阿里云的ntp服务器地址： time.pool.aliyun.com），注意 0x9 或 0x1 必须要有;在 类型 项, 选择 NTP;点击 应用、确定 按钮；

image

5、启动 NTP 客户端；启用NTP客户端；点击 应用、确定 按钮；

image

image

6、执行下面命令更新组策略

gpupdate /force

7、检查W32Time服务是否启动，启动类型是否是 自动启动

image

（1）服务器不能上网，当前环境有ntpd服务器

在第4步里把ntp server的地址改为内网ntpd服务器的地址即可

（2）服务器必须要能上网，使用公网上的ntpd服务器，例如阿里云的ntpd服务器

情况二

有Windows域环境

只需要对域控制器执行操作，其他域里面的client都不需要动

更改方法跟情况一的一样，修改组策略-》更新组策略-》检查W32Time服务是否启动

如果对client设置了组策略，那么client会用组策略的配置，而不是跟域控制器同步时间

注意点：Windows是使用ntpd命令的方式跟NTP服务器同步时间，也就是当client和server的时间相差太大的时候，client无法与server进行时间同步

也就是，无论是有域环境还是没有域环境，无论是用组策略还是不用组策略都是这样

这个跟Linux的ntpdate命令 ntpd命令相同，Linux的ntpdate命令无论client与server时间相差多大都可以跟server同步，而ntpd命令当时间相差太大则无法同步

网上还有另一种方法不用修改组策略，但是本人还没试过

有Windows域环境，在每台client里添加一个任务计划，定时执行下面命令

<pre style="margin: 0px; padding: 0px; white-space: pre-wrap; word-wrap: break-word; font-family: "Courier New" !important; font-size: 12px !important;">w32tm /config /syncfromflags:manual /manualpeerlist:time.stdtime.gov.tw
w32tm /config /update</pre>

没有Windows域环境，在每台client里添加一个任务计划，定时执行下面命令

参考文章
https://social.technet.microsoft.com/Forums/zh-TW/8543dc5d-703c-4b49-a60f-683e76e09f09/windows-2012-ad-client?forum=winserver2012zhtw
http://blog.csdn.net/hobbithero/article/details/53349531

内网和公共NTP服务器
https://help.aliyun.com/knowledge_detail/40583.html

更新时间：2016-07-12 15:23:55
内网NTP服务器

阿里云为云服务器ECS提供了内部的NTP时间服务器，如下：

10.143.33.50
10.143.33.51
10.143.33.49
10.143.0.44
10.143.0.45
10.143.0.46
公共NTP服务器

虽然非阿里云的设备不能用阿里云的内网NTP服务器，但是阿里云提供了公共NTP服务器，供互联网上的设备使用。其主要特性是GPS、北斗授时、原子钟守时的一级时间源多机房、多链路冗余。

服务域名是：

Unix类系统：time1-7.aliyun.com ，time1.aliyun.com，time2.aliyun.com，time3.aliyun.com。。。。。。
Windows： time.pool.aliyun.com
另外，阿里云还提供了其他的互联网基础服务，例如：

公共DNS：223.5.5.5/223.6.6.6，域名是 http://www.alidns.com
公共镜像站：http://mirrors.aliyun.com/ 镜像同步频率是每天凌晨2:00-4:00，覆盖了大多数开源软件及Linux发行版。

Linux配置NTP时间同步

一：NTP是网络时间同步协议，就是用来同步网络中各个计算机的时间的协议。

二：NTP服务端配置

1.检查系统是否安装了NTP包（linux系统一般自带NTP4.2），没有安装我们直接使用yum命令在线安装： yum install ntp

2.NTP服务端配置文件编辑： vim /etc/ntp.conf

结果:

image.png

 # @3新增-权限配置
 restrict 127.127.1.0
 restrict 192.168.31.0 mask 255.255.255.0 nomodify notrap


  # @3改动-注释掉上级时间服务器地址

  #server 0.centos.pool.ntp.org iburst
  #server 1.centos.pool.ntp.org iburst
  #server 2.centos.pool.ntp.org iburst
  #server 3.centos.pool.ntp.org iburst

  # @4新增-上级时间服务器

  server 127.127.1.0 # local clockfudge 
  127.127.1.0 stratum 10**

2.启动NTP时间服务器：service ntpd start
3.设置NTP开机自动启动：chkconfig ntpd on
4.查看NTP是否正常运行：netstat -tlunp | grep ntp
5.配置防火墙过滤规则：

  /sbin/iptables -I INPUT -p udp --dport 123 -j ACCEPT

如何配置：/etc/sysconfig/iptables 文件内配置开放udp 123端口：

  -A INPUT -p udp --destination-port 123 -j ACCEPT

A.服务端配置文件解释

①1：设定NTP主机来源（其中prefer表示优先主机），192.168.31.134是本地的NTP服务器，所以优先指定从该主机同步时间。

  server 192.168.7.49 prefer
  server 0.rhel.pool.ntp.org
  server 1.rhel.pool.ntp.org
  server 2.rhel.pool.ntp.org
  server 3.rhel.pool.ntp.org

②2：限制你允许的这些服务器的访问类型,在这个例子中的服务器是不容许修改运行时配置或查询您的Linux NTP服务器

restrict 192.168.0.0 mask 255.255.255.0 notrust nomodify notrap

在上例中，掩码地址扩展为255，因此从192.168.0.1-192.168.0.254的服务器都可以使用我们的NTP服务器来同步时间

此时表示限制向从192.168.0.1-192.168.0.254这些IP段的服务器提供NTP服务。

  restrict 192.168.0.0 mask 255.255.255.0 notrust nomodify notrap noquery

设置默认策略为允许任何主机进行时间同步

  restrict default ignore

二：NTP客户端配置

1.检查安装NTP服务有没有安装，未安装请自行安装

2.NTP客户端配置文件编辑： vim /etc/ntp.conf

image.png

# @1新增-权限配置
restrict 192.168.31.0 mask 255.255.255.0 nomodify notrap
# Use public servers from the pool.ntp.org project.
# Please consider joining the pool (http://www.pool.ntp.org/join.html).
# 注释掉原来的实际服务器地址
#server 0.centos.pool.ntp.org iburst
#server 1.centos.pool.ntp.org iburst
#server 2.centos.pool.ntp.org iburst
#server 3.centos.pool.ntp.org iburst

# @2新增-自己的时间服务器地址
server 192.168.31.223 prefer 
#<==以這部主機為最優先
#broadcast 192.168.1.255 autokey # broadcast server
#broadcastclient # broadcast client
#broadcast 224.0.1.1 autokey # multicast server
#multicastclient 224.0.1.1 # multicast client
#manycastserver 239.255.254.254 # manycast server
#manycastclient 239.255.254.254 autokey # manycast client

3.手动同步一次时间：/usr/sbin/ntpdate192.168.31.134 （服务端主机IP，这里需要先关闭NTP服务哦）
4.启动NTP服务：service ntpd start
5.观察时间同步状况：ntpq -p

结果：

  [root@localhost hct]# ntpq -p remote refid st t when poll reach delay offset jitter==============================================================================***192.168.31.134 **LOCAL(0) 11 u 64 128 377 0.202 73.980 412.834

⑥查看时间同步结果：ntpstat

[root@hct ~]# ntpstat
unsynchronised
polling server every 8 s

同步失败,同步也需要时间嘛，需等待5-10分钟再次查询：

Every 2.0s: ntpstat Tue Jul 11 16:55:57 2017synchronised to NTP server (10.10.11.247) at stratum 12 time correct to within 605 ms polling server every 128 s

OK!时间同步完成，date一下是不是和服务器主机时间一致呢

B.客户端配置文件详解

修改/etc/ntp/stpe-tickers文件，内容如下（当ntpd服务启动时，会自动与该文件中记录的上层NTP服务进行时间校对

image.png

C.系统时间与硬件时间同步

如果主从服务时间超过1000秒则不再进行同步了，这时候要手动同步，即：/usr/sbin/ntpdate命令，如果怕服务器时差会经常变动比较大可以再Linux中添加计划任务，例如：

10 5 * * * root /usr/sbin/ntpdate 192.168.31.223 && /sbin/hwclock -w

ntp服务，默认只会同步系统时间。如果想要让ntp同时同步硬件时间，可以设置/etc/sysconfig/ntpd文件，在/etc/sysconfig/ntpd文件中，添加 SYNC_HWCLOCK=yes 这样，就可以让硬件时间与系统时间一起同步。

实际去发现这个参数是在/etc/sysconfig/ntpdate

[root@iZwz97m0gse3w1ezxl4zc9Z ~]# cat /etc/sysconfig/ntpdate 
# Options for ntpdate
OPTIONS="-U ntp -s -b"
# Number of retries before giving up
RETRIES=2
# Set to 'yes' to sync hw clock after successful ntpdate
SYNC_HWCLOCK=no
[root@iZwz97m0gse3w1ezxl4zc9Z ~]#

D.ntpq -p各个选项相关信息
restrict 控制相关权限。
语法为： restrict IP地址 mask 子网掩码 参数
其中IP地址也可以是default ，default 就是指所有的IP

参数有以下几个：
ignore ：关闭所有的 NTP 联机服务
nomodify：客户端不能更改服务端的时间参数，但是客户端可以通过服务端进行网络校时。
notrust ：客户端除非通过认证，否则该客户端来源将被视为不信任子网
noquery ：不提供客户端的时间查询：用户端不能使用ntpq，ntpc等命令来查询ntp服务器
notrap ：不提供trap远端登陆：拒绝为匹配的主机提供模式 6 控制消息陷阱服务。陷阱服务是 ntpdq 控制消息协议的子系统，用于远程事件日志记录程序。
nopeer ：用于阻止主机尝试与服务器对等，并允许欺诈性服务器控制时钟
kod ： 访问违规时发送 KoD 包。
restrict -6 表示IPV6地址的权限设置。

root@www ~]# vim /etc/ntp.conf
# 1\. 先處理權限方面的問題，包括放行上層伺服器以及開放區網用戶來源：
restrict default kod nomodify notrap nopeer noquery <==拒絕 IPv4 的用戶
restrict -6 default kod nomodify notrap nopeer noquery <==拒絕 IPv6 的用戶
restrict 220.130.158.71 <==放行 tock.stdtime.gov.tw 進入本 NTP 伺服器
restrict 59.124.196.83 <==放行 tick.stdtime.gov.tw 進入本 NTP 伺服器
restrict 59.124.196.84 <==放行 time.stdtime.gov.tw 進入本 NTP 伺服器
restrict 127.0.0.1 <==底下兩個是預設值，放行本機來源restrict -6 ::1
restrict 192.168.100.0 mask 255.255.255.0 nomodify <==放行區網來源 

# 2\. 設定主機來源，請先將原本的 [0|1|2].centos.pool.ntp.org 的設定註解掉：
server 220.130.158.71 prefer <==以這部主機為最優先
server 59.124.196.83server 59.124.196.84

# 3.預設時間差異分析檔案與暫不用到的 keys 等，不需要更動它：
driftfile /var/lib/ntp/driftkeys /etc/ntp/keys

ntpd、ntpdate的区别

下面是网上关于ntpd与ntpdate区别的相关资料。如下所示所示：

使用之前得弄清楚一个问题，ntpd与ntpdate在更新时间时有什么区别。ntpd不仅仅是时间同步服务器，它还可以做客户端与标准时间服务器进行同步时间，而且是平滑同步，并非ntpdate立即同步，在生产环境中慎用ntpdate，也正如此两者不可同时运行。

时钟的跃变，对于某些程序会导致很严重的问题。许多应用程序依赖连续的时钟——毕竟，这是一项常见的假定，即，取得的时间是线性的，一些操作，例如数据库事务，通常会地依赖这样的事实：时间不会往回跳跃。不幸的是，ntpdate调整时间的方式就是我们所说的”跃变“：在获得一个时间之后，ntpdate使用settimeofday(2)设置系统时间，这有几个非常明显的问题：
第一，这样做不安全。ntpdate的设置依赖于ntp服务器的安全性，攻击者可以利用一些软件设计上的缺陷，拿下ntp服务器并令与其同步的服务器执行某些消耗性的任务。由于ntpdate采用的方式是跳变，跟随它的服务器无法知道是否发生了异常（时间不一样的时候，唯一的办法是以服务器为准）。
第二，这样做不精确。一旦ntp服务器宕机，跟随它的服务器也就会无法同步时间。与此不同，ntpd不仅能够校准计算机的时间，而且能够校准计算机的时钟。
第三，这样做不够优雅。由于是跳变，而不是使时间变快或变慢，依赖时序的程序会出错（例如，如果ntpdate发现你的时间快了，则可能会经历两个相同的时刻，对某些应用而言，这是致命的）。因而，唯一一个可以令时间发生跳变的点，是计算机刚刚启动，但还没有启动很多服务的那个时候。其余的时候，理想的做法是使用ntpd来校准时钟，而不是调整计算机时钟上的时间。

NTPD 在和时间服务器的同步过程中，会把 BIOS 计时器的振荡频率偏差——或者说 Local Clock 的自然漂移(drift)——记录下来。这样即使网络有问题，本机仍然能维持一个相当精确的走时。

特此声明转自：https://www.cnblogs.com/lyhabc/p/6270448.html
https://blog.csdn.net/willinge/article/details/79928726