Synchronisation de l'heure Domaine AD 2008Résolu/Fermé

Question

Bonjour,

J'ai problème de synchronisation entre mon PDC, les DCs et les ordinateurs du domaine, chacun d'entre eux a une heure différente des autres.
j'ai resynchroniser manuellement rien n'a changé..

Quelqu'un pourrait m'aider s'il vous plait?

Merci d'avance.

kelux · Answer

Bonjour,

 j'ai resynchroniser manuellement rien n'a changé.. 
 
Comment ? Qu'avez vous fait "manuellement" ?


Qui n'est pas synchronisé avec qui ? Donnez quelques précisions svp.
Dire que "PDC+DCs+postes" pas synchronisés, ne permet pas de cibler le problème.


En admin du domaine (ou enterprise admin), dans une console CMD, que donne un w32tm /monitor

kelux · Answer

Alors, pour la petite histoire,

Au Maroc, l'horloge change souvent avec les périodes du Ramadan, et c'est très souvent problématique pour la gestion de l'heure; il y a d'autres pays dans ce type de situation, le cas n'est pas isolé; mais j'ai travaillé sur cette  problématique avec le Maroc; sans compter que le changement d'heure peut être décidé ou même repoussé à la dernière minute... pour nous informaticiens c'est gênant à gérer.

Mais avant tout, ne changez jamais l'heure sur vos postes ou vos serveurs lors des périodes de chgt d'heure été/hiver + période Ramadan; il faut seulement changer le fuseau horaire, mais pas l'heure.

La référence de l'heure reste UTC, et on vient modifier le fuseau, c'est tout.
Le fuseau c'est juste de "l'affichage" en gros sur les machines.

Et lors de ces périodes de chgt d'heure, Microsoft prévoit des patchs pour prendre en compte le changement du fuseau. On utilise uniquement ces patchs sur les machines pour prendre en compte heure été/hiver/ramadan etc ... mais l'heure UTC on ne la change pas.

Quelques liens pour se tenir informé :
https://docs.microsoft.com/en-us/archive/blogs/

et en l'occurrence pour cet été 2015 au Maroc post ramadan: 
https://support.microsoft.com/en-us/help/3062741/2015-morocco-ramadan-dst-changes-end-date-hotfix

Il faut que les machines serveurs+clients aient ces mises à jour. Faites le test dans un premier temps avec un machine qui a le problème pour vérifier que ça fonctionne.

Le souci c'est que certains postes sont à l'heure mais utilise un fuseau horaire "différent ou non patché" ; en voyant la machine on "croit" qu'elle n'est pas à l'heure, donc on modifie l'heure en pensant bien faire...ce qu'il ne fallait pas faire ;-)
 
-
Analyse pour le w32tm /monitor :

1. Le PDC srvmail se synchronise avec personne.
Dans le résultat on a pour le PDC "RefID: (inconnu) [0x6A86D168]" ; ce qui n'est pas bon du tout.

-> Il faut configurer/vérifier la synchro de temps NTP externe uniquement  sur le PDC, à savoir sur srvmail.

2. srvappl : aucun problème, il sync l'heure depuis le PDC.
3. srvfiles : aucun problème, il sync l'heure depuis le PDC.

4. mail : problème !! Lui il est dans les choux. Il est complètement décalé, et surtout on arrive pas à avoir les infos, ni même un Ping. Il doit y avoir un probleme de connectivité avec ce serveur. (notamment entre la machine où vous avez fait le w32tm /monitor et ce serveur mail).

Il a un décalage de l'heure 4 jours tout pile. 
Il y a un risque d'avoir des problèmes de réplication sur ce serveur.


-> Est ce que ce serveur est toujours d'actualité ?
-> Est ce qu'il a des soucis de connectivité / Firewall /etc ...
-> il faut re paramétrer la date et l'heure dessus manuellement. Après on verra pour la synchro temps.


-
Comment configurer la synchro externe sur le PDC :

1. Se connecter sur srvmail avec un compte disposant de droits administrateurs domaine/enterprise.

2. Lancer une invite de commande en tant qu'administrateur (CMP prompt with admin privileges).

3. Lancer la commande suivante (une seule ligne):

w32tm /config /manualpeerlist:"0.fr.pool.ntp.org 1.fr.pool.ntp.org 2.fr.pool.ntp.org 3.fr.pool.ntp.org" /syncfromflags:manual /reliable:yes /update

4. On redémarre le service de temps pour être "sur"
 net stop w32time && net start w32time

5. on surveille ensuite avec :
w32tm /monitor

Ne pas hésiter à faire le /monitor plusieurs fois d'affilée, car la synchro prend des dizaine de secondes, ça permet de refresh les résultats...

PS : si ça ne synchronise pas :
- Il est possible que NTP soit filtré, demandez aux équipes réseaux d'ouvrir le flux NTP pour ce PDC vers la liste de serveurs mentionnés.
- Il est aussi possible que vous ayez déja un serveur NTP (boitier réseau généralement)  qui fasse office de référence NTP fiable. Dans ce cas synchronisez le PDC sur ces boitiers.


ps : j'ai consciemment mis des serveurs NTP français, car les temps de réponse avec le Maroc sont bons, contrairement aux serveurs NTP de la plaque africaine, notamment en SA c'est moins bon.
Tu peux mettre n'importe quelle liste de serveur NTP en remplacement. pool.NTP.Org a des serveurs listés en Tunisie au mieux, mais pas au maroc.
Il faut garder à l'esprit que les temps de réponses doivent être corrects pour avoir une bonne synchro fiable.
http://www.pool.ntp.org/zone/africa

-

Résumé des actions à mener :

1. Préparer les patchs sur des machines en test.
2. Revoir la configuration de la synchro NTP externe sur le PDC srvmail. 
3. Corriger manuellement la date et l'heure sur le serveur mail.
4. Vérifier la connectivité entre le serveur mail et les autres DCs.


On verra après pour la suite.

kelux · Answer

Bonjour,

Une petite note pour les Contrôleurs de domaine virtualisés, notamment sur ESXi etc ...
 
1. Sur des DC virtualisés, il faut toujours désactiver la synchro de l'heure via les "VM Tools". (ceci s'applique uniquement pour les controleurs de domaine virtualisés, on désactive la synchro VMware pour ces machines uniquement).

2. il faut aussi synchroniser le host ESX, car quand les VMs démarrent, leur BIOS virtuel synchro l'heure avec l'hote ESX. Si l'hote ESX est décalé, on fait démarré les VMS avec un décalage, après elles se mettront à jour une fois démarrée.
Mais lorsque le décalage est trop important, la synchronisation n'est plus possible sous windows. (notamment à cause du temps décalé qui induit un problème dans l'authentification Kerberos, la machine n'est pas authentifiée correctement dans le domaine ... et cet effet est "pire" pour un DC ...)

3. Le PDC ne doit pas être virtualisé, mais physique.Microsoft ne préconise pas un PDC virtualisé, notamment pour les problèmes exposés ci dessus.


NB : désolé je n'avais pas vu la ligne pour le serveur APP, en effet c'était lui qui était décalé de 4 jours.
Le serveur mail a mal été décomissionné s'il n'est plus contrôleurs de domaine. Il apparait toujours en tant que DC pour les autres DC.

-

Pour les machines avec 1H de décalage, plusieurs possibilités :

- problème de fuseau horaire et application ou non de l'heure d'été/hiver. Ce n'est que de l'afficahge, l'heure est bonne deriière ... 
Par contre si on voit toujours les pbs cités au début liés à l'authentification, ce n'est pas la bonne piste. (redémarrer la machine et se reconnecter dessus est un bon test avant de voir si il y a pb d'authentification).

- Installez les patchs en question en prenant soin de choisir la bonne version de windows. Si c'est du XP -> ce n'est plus supporté...
et Redémarrez les machines.

- si ça a été modifié manuellement, il faut redémarrer les machines, pour voir si elles se resynchro ... sinon re modifier l'heure manuellement pour qu'elle puisse de nouveau se synchro avec les DCs.

Sachant que les machines clientes/serveurs se synchronisent avec n'importe quel DC et pas le PDC forcément.

S'il y a un décalage trop important, les machines ne peuvent se synchroniser avec Active Directory, car elles ont besoin d'être authentifiées. Kerberos admet un décalage de 5 minutes max pour valider l'authentification. Comme ici on a un décalage plus grand, l'authentification est KO, donc tout ce qui nécessite une authentification ne marche plus.
 

Using a registry "compactor" on top of a registry "cleaner" would be equivalent to rinsing your throat with a swig of Jack Daniels after swallowing a pint of snake oil....

Synchronisation de l'heure Domaine AD 2008

3 réponses

Discussions similaires

Newsletters