Cómo configurar una fuente de tiempo NTP para su dominio de Active Directory

La sincronización horaria en un entorno de Active Directory no se trata solo de configurar los servidores NTP correctos y esperar que todo salga bien. Si la sincronización no es correcta, pueden ocurrir problemas extraños: fallos de autenticación de Kerberos, problemas con los certificados o mensajes de error crípticos que carecen de sentido hasta que te das cuenta de que los relojes están totalmente desfasados. Es frustrante que Windows complique esto más de lo debido, especialmente con las diferentes maneras de configurar el servicio de hora y el hecho de que roles como el emulador de PDC pueden cambiar de lugar. Por lo tanto, esta guía tiene como objetivo garantizar que el controlador de dominio principal (PDC) esté sincronizado con un proveedor NTP externo y confiable, ya que, por supuesto, Windows tiene que complicarlo más de lo necesario. Después, los demás servidores y clientes deberían seguir el mismo proceso sin complicaciones.¿El resultado final? Menos problemas relacionados con el tiempo y operaciones de dominio más fluidas.

Cómo solucionar la sincronización horaria en un dominio de Active Directory

Método 1: asegúrese de que el emulador PDC esté sincronizado con una fuente NTP externa

Esto es esencial porque el PDC actúa como la principal autoridad horaria del dominio; si falla, todo lo demás sigue su ejemplo. Si su controlador de dominio (DC) no se sincroniza con un servidor NTP real, se producen errores de sincronización que causan todo tipo de problemas.

• Primero, identifique el emulador PDC actual ejecutándolo en PowerShell:
• Get-ADDomain | Select-Object PDCEmulator
• Esto le ayudará a saber con qué servidor debe trabajar.
• En el PDC, verifique qué está utilizando como fuente de tiempo actual:
• w32tm /query /source
• Si dice Reloj CMOS local o cualquier cosa que no sea un NTP externo, esa es tu señal para arreglarlo.
• Detener el servicio de hora de Windows:net stop w32time
• Configúrelo para usar un servidor externo confiable, como el del proyecto pool.ntp.org. Para el Reino Unido, suele ser 0.uk.pool.ntp.org, 1.uk.pool.ntp.org, etc.
• Correr:
• w32tm /config /manualpeerlist:"0.uk.pool.ntp.org 1.uk.pool.ntp.org 2.uk.pool.ntp.org" /syncfromflags:manual /reliable:YES /update
• Luego, reinicie el servicio de hora:
• net start w32time
• Forzar una resincronización:
• w32tm /resync
• Finalmente, vuelva a verificar la fuente con w32tm /query /source. Ahora debería indicar los servidores NTP externos.

Esto debería solucionar el problema principal del PDC que actúa como una fuente de tiempo inestable o solo local, especialmente si se trata de una máquina virtual o si el reloj del sistema está desfasado.

Método 2: Establecer la configuración NTP a través de la Política de grupo (para que permanezca incluso si el rol cambia)

Si no quiere lidiar con comandos constantemente o le preocupa el cambio de roles, usar GPO es una buena idea. De esta manera, cuando el rol del PDC salta a otro DC, ese servidor se configura automáticamente para sincronizarse con las fuentes externas adecuadas.

• Abra la Consola de administración de directivas de grupo ( GPMC.msc )
• Cree un nuevo filtro WMI con:
• Select * from Win32_ComputerSystem where DomainRole = 5
• Vincula ese filtro a un nuevo GPO y ve a Configuración del equipo -> Políticas -> Plantillas administrativas -> Sistema -> Servicio de hora de Windows -> Proveedores de hora
• Configurar estos GPO:
  • Habilitar Configurar cliente NTP de Windows: establecer en Habilitado
  • Habilitar Habilitar cliente NTP de Windows: Habilitado
  • Habilitar Habilitar servidor NTP de Windows: Habilitado (si es necesario para la sincronización)
• Establezca opciones específicas en Configurar cliente NTP de Windows:
  • Servidor Ntp:0.uk.pool.ntp.org, 0x8 1.uk.pool.ntp.org, 0x8 2.uk.pool.ntp.org, 0x8 3.uk.pool.ntp.org, 0x8
  • Tipo: NTP
  • Puedes dejar los demás parámetros predeterminados a menos que estés jugando con configuraciones avanzadas.
• Vincula este GPO a la OU Controladores de dominio para que se aplique al DC que tiene la función de PDC.

Método 3: Asegúrese de que el servicio de hora de Windows esté configurado correctamente en las máquinas cliente

La mayoría de los equipos y servidores unidos a un dominio simplemente siguen la jerarquía del dominio, pero a veces la configuración falla o se configura incorrectamente. Normalmente, se sincronizan automáticamente desde el controlador de dominio (usando el modo NT5DS), pero si no es así, puedes forzarlo.

• Ejecute estos comandos en una ventana de administrador de PowerShell o CMD para restablecer el servicio de hora a la jerarquía de dominio predeterminada:
• net stop w32time w32tm /unregister w32tm /register net start w32time w32tm /resync
• Comprueba qué fuente está utilizando ahora:
• w32tm /query /source
• Si todo funciona correctamente, debería decir LogonServer o la fuente de la jerarquía de su dominio, no el reloj CMOS local.

Eso es todo. En la mayoría de los casos, configurar el PDC para que use una fuente NTP externa fiable filtra el caos bastante bien. Asegúrate de que los puertos del firewall (UDP 123) estén abiertos en tus servidores NTP y revisa los registros de eventos si algo sigue pareciendo extraño.

Resumen

• Encuentre su emulador PDC con PowerShell.
• Configure el PDC para sincronizar con un servidor NTP externo confiable, como pool.ntp.org.
• Utilice la Política de grupo para mantener esta configuración consistente en todos los controladores de dominio, especialmente si los roles cambian.
• Asegúrese de que las máquinas cliente sigan la jerarquía del dominio y no alteren sus relojes locales.

Resumen

Configurar la hora correctamente en Active Directory puede parecer tedioso, pero cuando se hace correctamente, todo funciona mejor. Se acabaron los errores de registro crípticos, los problemas de autenticación y los problemas con los certificados. Solo una hora sincronizada y basada en hechos que mantiene tu dominio en marcha. Funcionó con diferentes configuraciones en mi caso; espero que esto ayude a que sea un poco más fácil para alguien más.