Zeitserver in einer Domäne konfigurieren

[monstermania 53]

Kurze Erklärung: die Domäne verfügt über keinen Zugang zum Internet (ist nicht gewollt), zwei Domänencontroller mit W2k3 SP2, synchronisieren möchte ich mit einen anderen Server, auf dem W2k8 R2 läuft.

Dieser Server dient für die Arbeitszeiterfassung unserer Beschäftigten und ist mit einer Funkuhr ausgestattet.

Moin,

rein interessehalber. Wie habt Ihr Eure Domäne gegen Internetzugriff abgeschottet? Firewall?

Wie handelt Ihr Email, Internetzugriff auf den Rechnern Eurer Mitarbeiter? Hat jeder MA 2 Rechner stehen?

 

Nicht falsch verstehen. Mich interessiert die technische Umsetzung in der Praxis, weil eine komplette Abschottung läuft im Endeffekt ja auf eine komplette Trennung der Netze hinaus (z.B. per VLAN).

 

Gruß

Dirk

[Sunny61 811]

@ Sunny61  glaube ich nicht, unsere Domäne steht hinter einem Sicherheitsgateway, und da ist bisher nichts durchgekommen.

Wenn Du das so sagst, dann ist wohl so. ;)

 

Und wer kümmerst sich um das Sicherheitsgateway in Sachen Updates? Wer prüft das andauernd? Wer installiert fällige Sicherheitsupdates? Bekommt das Teil denn überhaupt noch Sicherheitsupdates? Gibt es einen Wartungsvertrag?

Trotz allem Sicherheitsgedöhns ist die größte Schwachstelle immer noch der Mensch, also auch Du! ich möchte dich sehen, wenn die Leitung zu dir kommt, weil Du für einen Angriffssturm gesorgt hast und dich fragt, warum du nicht besser aufpasst.

[berogge 10]

Gut, ich darf aber nicht zu viel ausplaudern, sonst kommt die Leitung wirklich zu mir. ;)

Um das ganze Sicherheitsgedöns und auch unsere Rechner usw. kümmert sich eine IT-Firma, die extra dafür eingekauft wurde. Was die wie machen weis ich nicht.

Die Domäne die ich betreue ist völlig unabhängig von unserem allgemeinen IT System, nahezu autark in einem eigenen VLAN, für spezielle Aufgaben. Kein Internet und kein E-Mail.

Ich darf lediglich die physikalische Topologie nutzen und habe einen eigenen IP-Adressbereich zugewiesen bekommen.

Die Domäne besteht aus 13 Servern, 3 Clients für Mitarbeiter und über hundert Terminals.  Die 3 Mitarbeiter haben dann 2 PC's am Arbeitsplatz.

Um Updates, Virensignaturen usw. kümmert sich obige Firma. Wenn es also Sicherheitsprobleme gibt, egal welcher Art, ist die IT-Firma dran.

Und ich bin auch kein ausgebildeter Admin, sondern ein Angestellter im Büro, der das ganze nebenbei macht.

Deswegen habe ich manchmal Fragen, über die richtige Admins erhaben sind. Man kann eben nicht alles als Autodidakt machen/ erlernen.

Mehr möchte ich dazu lieber nicht sagen.

Viele Grüße

Bernd

bearbeitet 18. März 2015 von berogge

[berogge 10]

Hallo,

 

es funktioniert doch noch nicht. Jetzt habe ich einen neuen Fehler auf dem Domänencontroller, Ivent ID  50, Quelle W32Time, Der Zeitdienst hat eine Zeitdifferenz von mehr als 128ms auf 90 Sekunden festgestellt. Die Zeitdifferenz wurde Möglicherweise durch die Synchronisation mit einer ungenauen Zeitquelle oder durch schlechte Netzwerkbedingungen verursacht. Von nun an wird der Zeitdienst nicht mehr synchronisiert, die Zeit keinem weiteren Client mehr zur Verfügung gestellt und die Systemuhr nicht mehr synchronisiert. Sobald ein gültiger Zeitstempel von einem Zeitdienstanbieter empfangen wird, wird der Zeitdienst sich selbst korrigieren.

 

Was hat das jetzt wieder zu bedeuten?

 

Wie kann das korrigiert werden?

 

Microsoft schlägt die Installation eines Hotfixes vor.  Welchen schreiben sie aber nicht. Man soll den anfordern, aber wo und wie? Ich bin ratlos.

 

Viele Grüße

 

Bernd

[Sunny61 811]

Bei den Events gibt es auch immer einen Button Kopieren, mach das mal und dann hier in einen Code-Tag einfügen.

 

EDIT: Meinst Du diesen Hotfix? https://support.microsoft.com/de-de/kb/830092/de

bearbeitet 20. März 2015 von Sunny61

[berogge 10]

Ja, den Hotfix meine ich.

 

Ereignistyp: Warnung
Ereignisquelle: W32Time
Ereigniskategorie: Keine
Ereigniskennung: 50
Datum:  19.03.2015
Zeit:  18:50:29
Benutzer:  Nicht zutreffend
Computer: 
Beschreibung:
Der Zeitdienst hat eine Zeitdifferenz von mehr als 128 ms auf 90 Sekunden fest- gestellt. Die Zeitdifferenz wurde möglicherweise durch die Synchronisation mit einer ungenauen Zeitquelle oder durch schlechte Netzwerkbedingungen verursacht. Von nun an wird der Zeitdienst nicht mehr synchronisiert, die Zeit keinem weiteren Client mehr zur Verfügung gestellt und die Systemuhr nicht mehr synchronisiert. Sobald ein gültiger Zeitstempel von einem Zeitdienstanbieter empfangen wird, wird der Zeitdienst sich selbst korrigieren.

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.

[NorbertFe 2.100]

Ruf MS an und fordere den Hotfix an. Wo ist das Problem? Wenn nicht jetzt, wann dann? Nach Ablauf des Supports für 2003 bekommst du ihn mit hoher Wahrscheinlichkeit nicht mehr.

[Sunny61 811]

Ja, den Hotfix meine ich.

Da würde ich doch lieber diese alten System aktualisieren, das ist dann ein Hotfix der ganz anderen Art. ;)

[Daniel -MSFT- 129]

Microsoft schlägt die Installation eines Hotfixes vor.  Welchen schreiben sie aber nicht. Man soll den anfordern, aber wo und wie? Ich bin ratlos.

 

Hast Du Dir mal die Frage gestellt, warum die Zeit so schlecht bei Dir ist? Hast Du eventuell den Server virtualisiert? Generell solltest Du Windows Server 2003 nicht mehr länger betreiben, da das Supportende vor der Tür steht.

 

Hotfixes kannst Du auch per Webformular anfordern: https://support2.microsoft.com/contactus/emailcontact.aspx?scid=sw;%5BLN%5D;1422

 

Have fun!

Daniel

[berogge 10]

Ich frage mich ständig, warum es nicht funktioniert. Ich bin langsam genervt davon.

Virtualisiert habe ich keinen Server.

Wie lange hier W2K3 betrieben wird legt die Leitung fest, und nicht ich. Wenn man kein Geld für was Neues ausgeben will, hat man eben mit alten Sachen zu kämpfen.

Anforderung per Web Formular ist gut, aber nicht praktikabel, weil die Firma den Mailanhang auf 5MB beschränkt hat.

Mit Sicherheit wird eine telefonische Anforderung auch darauf hinauslaufen, den Hotfix per Mail zu versenden.

[NorbertFe 2.100]

Die versenden den Hotfix nicht per Mail. Nicht immer mutmaßen und Probleme sehen, wo nun wirklich keine sind. Die schicken dir den Hotfix ja auch nicht durch den Hörer.

 

Bye

Norbert

 

PS: Du bekommst einen Downloadlink.

[Daniel -MSFT- 129]

Du kriegst den Hotfix nicht per Mail, sondern einen zeitlich begrenzten Download-Link und ein Passwort zum Entpacken.

 

Hast Du vielleicht mehrere Zeitsteuerungssoftwareprodukte auf dem Server parallel laufen, die sich gegenseitig beeinflussen? Ohne Deine Umgebungskonfiguration hier im Detail zu kennen, ist es schwer, einzuschätzen, was auf dem Server die zeit beeinflußt. Du kannst auch eine Funkuhr kaufen und den Server damit extern koppeln, wenn das Netz unzuverlässig sein sollte. Siehe z.B. https://www.meinberg.de/german/products/pc-clocks.htm

 

Was den Betrieb angeht: Sind die Firmenwagen (oder Privatautos) der Geschäftsführer auch alle 10 Jahre alt?

bearbeitet 20. März 2015 von Daniel -MSFT-

[berogge 10]

Ich habe noch andere Probleme gefunden, die Clients bekommen keine Gruppenrichtlinien, ich habe von meinem Rechner aus keinen Zugriff mehr auf ActiveDirectory usw.

Da ist scheinbar noch mehr nicht richtig konfiguriert.

Ich habe jetzt die Nase voll, und alles abgeschaltet. Wenn die Leitung die Domäne wünscht, sollen sie das von Profis machen lassen. Vielleicht kommt nach der Sonnenfinsternis ja die Erleuchtung bei denen.

Danke für Eure Hilfe.

Schönes Wochenende

Bernd

[NorbertFe 2.100]

Du kriegst den Hotfix nicht per Mail, sondern einen zeitlich begrenzten Download-Link und ein Passwort zum Entpacken.

 

Hast Du vielleicht mehrere Zeitsteuerungssoftwareprodukte auf dem Server parallel laufen, die sich gegenseitig beeinflussen? Ohne Deine Umgebungskonfiguration hier im Detail zu kennen, ist es schwer, einzuschätzen, was auf dem Server die zeit beeinflußt. Du kannst auch eine Funkuhr kaufen und den Server damit extern koppeln, wenn das Netz unzuverlässig sein sollte. Siehe z.B. https://www.meinberg.de/german/products/pc-clocks.htm

 

Was den Betrieb angeht: Sind die Firmenwagen (oder Privatautos) der Geschäftsführer auch alle 10 Jahre alt?

Hallo Daniel er hat eine funkuhr am 2008r2. Steht im ersten posting

[Daniel -MSFT- 129]

Alles klar. Das hatte ich überlesen. Dann wird der wohl nicht so konfiguriert sein, dass er die Zeit nur gegen extern synchronisiert. Wenn man zwei konkurrierende Zeitsysteme parallel nutzt, dann steuern die immer heftiger gegen, weil jede denkt, dass die CMOS-Uhr nun wirklich schlecht geht. Irgendwann werden die Differenzen zu gross und einer gibt auf.

 

Wenn die Uhrzeit dann noch auf Clients und Server zu sehr divergiert, dann geht Kerberos nicht mehr und dann treten genau die beschriebenen Probleme auf.

 

Deswegen ist es wirklich eine gute Idee, das einen Fachmann machen zu lassen.