GPO für NTP-Regelung in der Domäne

[NorbertFe 2.091]

Schon klar. Ist halt schwierig. ;)

[kosta88 2]

Norbert, es sind auch zwei GPOs, wie in deiner Anleitung, aber die zuerst geschrieben Konfiguration (die de auch gequotet hast) war ein Fehler - dieser wurde korrigiert. Eine GPO (Schritt 1) ist auf DC-OU verlinkt und eine GPO (Schritt 2) auf die Domain-Ebene verlinkt.

 

Ich verstehe aber trotzdem nicht, warum manche Server auf 2. DC greifen, dieser ist natürlich kein PDC. Soweit ich das verstehe, alle Rechner, inkl. andere DCs, müssten auf den PDC-DC greifen, oder!?

[NorbertFe 2.091]

Warum sollen die Server denn nicht auf andere DCs zugreifen? Solange sie keine DCs sind ist das korrekt. wenn es DCs sind, kann man jetzt von hier aus nur raten, was bei dir schiefhängt.

[kosta88 2]

Na dann ist gut.

Für 2 DCs ist die Quelle PDC-DC (3 DCs insgesamt).

Für alle anderen Domain-Mitglieder scheinbar nach Wahl...

bearbeitet 29. Mai 2017 von kosta88

[NorbertFe 2.091]

ja irgendwie logisch oder?

[NilsK 2.968]

Moin,

 

um es noch mal im Zusammenhang darzustellen:

• Der DC mit der Rolle PDCe ist der Haupt-Zeitgeber für die Domäne. Dieser muss mit einer externen Zeitquelle synchronisiert werden.
• Alle anderen DCs der Domäne bekommen ihre Zeit von dem PDCe. Sie sind also anders konfiguriert als der PDCe, und zwar nach der Standard-Domänenhierarchie (NT5DS).
• Alle Clients (also Server, die nicht DC sind, und Client-PCs) bekommen ihre Zeit von "einem beliebigen" DC. Bei diesen Rechnern möchte man ja die Redundanz nutzen. Auch diese sind nach NT5DS konfiguriert.

Genau diese Konfiguration stellt Windows selbst her, wenn man nicht eingreift. Da in vielen Umgebungen aber eben doch eingegriffen wird, beschreibt Norberts Artikel vollständig, wie man diese empfohlene Konfiguration per GPO wieder einrichtet und ab da sicherstellt. Dazu gibt es eben die beiden GPOs:

• Ein GPO, das nur (!) den PDCe konfiguriert. Durch den WMI-Filter ist es "ewig flexibel", weil es den PDCe auch nach einem Rollenwechsel findet.
• Ein GPO, das alle (!) anderen Rechner konfiguriert.

Dass also die Rechner verschiedene DCs als Zeitquelle anzeigen, ist nicht nur normal, sondern auch erwünscht.

 

Gruß, Nils

[NorbertFe 2.091]

Sehr schöne Zusammenfassung. :)

[NilsK 2.968]

Moin,

 

ich dachte, du schreibst jetzt, dass das da ja schon steht. :D

 

Gruß, Nils

PS. danke!

[NorbertFe 2.091]

Bestimmt :p und wenn nur indirekt ;)

[kosta88 2]

Danke!! Die Sache ist jetzt klar und ja, es war auch notwendig, da unsere Leute im RZ eingegriffen haben und dort eigenen NTP-Server eingerichtet.

Das habe ich nicht gewusst bzw. zuerst gesehen, erst als ich gemerkt habe dass ich 1-2 Minuten Differenz habe.