Windows Server, AD и Роли

Настройка службы времени W32Time: синхронизация часов на контроллере домена

Обновлено: 27.08.2026 · Официальная документация ↗

Почему отставание часов ломает весь домен?

В домене Active Directory все компьютеры и серверы автоматически сверяют свои часы с главным контроллером домена, удерживающим FSMO-роль PDC Emulator. Если системные часы на контроллере домена начинают спешить или отставать, возникают критические сбои:

Отказ авторизации: Протокол Kerberos блокирует вход пользователей, если разница во времени между клиентом и сервером превышает 5 минут (код ошибки 0x80070576).
Сбои репликации AD: Контроллеры перестают обмениваться обновлениями учетных записей и политик.
Искажение журналов: Невозможно провести аудит инцидентов информационной безопасности из-за неверных таймстампов.

Настройка NTP-синхронизации на контроллере PDC Emulator

Выполните следующие команды в командной строке от имени Администратора на главном контроллере домена:

Задайте надежные внешние источники времени NTP (в примере: pool.ntp.org и time.windows.com):
```
w32tm /config /manualpeerlist:"0.pool.ntp.org,0x8 1.pool.ntp.org,0x8 time.windows.com,0x8" /syncfromflags:manual /reliable:yes /update
```
Перезапустите службу системного времени Windows:
```
net stop w32time && net start w32time
```
Принудительно запросите синхронизацию прямо сейчас:
```
w32tm /resync /rediscover
```
Проверьте текущий статус и источник точного времени:
```
w32tm /query /status
```

Важно для виртуальных машин: Если контроллер домена работает внутри Hyper-V или VMware ESXi, обязательно отключите интеграционную синхронизацию времени с хостом («Синхронизация времени» / «Time synchronization») в свойствах виртуальной машины, иначе хост будет сбивать настройки контроллера!

💡 Практика специалистов: Флаг `0x8` в параметре manualpeerlist переводит клиент W32Time в режим отправки регулярных NTP-запросов вместо пассивного ожидания. Это гарантирует поддержание точности хода часов с погрешностью менее 1 секунды даже при резких скачках нагрузки на гипервизоре.

Частые вопросы (FAQ)

Как узнать, какой контроллер домена в сети является PDC Emulator?

Выполните команду в CMD: netdom query fsmo. В строке «Хозяин PDC» будет указано имя нужного сервера.

Нужно ли настраивать службу времени на остальных рядовых компьютерах и серверах домена?

Нет! Все рядовые ПК и серверы в домене по умолчанию настроены синхронизировать время автоматически по иерархии домена от контроллеров.

Какой сетевой порт должен быть открыт на роутере для работы NTP?

Для исходящих запросов к внешним серверам времени должен быть открыт протокол UDP порт 123.

Как вернуть рядовой компьютер на синхронизацию от домена, если на нем сбили настройки?

Выполните на компьютере команду: w32tm /config /syncfromflags:domhier /update, а затем net stop w32time && net start w32time.