Zweiter NTP Server im Netzwerk

[ITGuy24 0]

Hallo zusammen,

 

folgende Situation: Ein AD mit einer Dömäne und zwei DCs, wo von einer die (logischerweise) die PDC Rolle hält.

Dazu gibt es einen Memberserver, welcher nun die Zeit bezieht vom DC bezieht - dieser Memberserver soll aber gleichzeichtig einen NTP Server bereitstellen, damit Geräte (welche nicht Teil der Domäne sind), von diesem Memberserver die korrekte Zeit erhalten.

Ist das problemlos möglich und wie sollten oder müssen die Einstellungen korrekt gesetzt werden?

 

Vielen Dank!

[NorbertFe 2.034]

Und wieso ziehen die anderen Geräte nicht die Zeit von den dcs?

[cj_berlin 1.315]

Moin,

+1 zu was Norbert gesagt hat. Schalte auf beiden DCs den NTP-Server ein und die anderen Geräte sollen es von dort abholen. Stichwort Kirche im Dorf lassen.

 

Dagegen könnten zwei Argumente sprechen:

 

1. Segal's Law, da Du nur zwei DCs hast - hier kommt es darauf an, was Du für Geräte hast und wie sie damit umgehen. Allerdings hat Du, wenn Deine DCs unterschiedliche Zeit haben, eh ein Problem.

2. Firewall-Policy a la "Nur Domain Member sprechen mit DCs" - siehe Kirche im Dorf lassen, 123/UDP könnte man durchaus als ungefährlich einstufen...

bearbeitet Montag um 07:29 von cj_berlin

[ITGuy24 0]

Moin,

 

die Geräte können sich die Zeit nicht vom DC ziehen, weil die in einem komplett anderen IP Bereich sind und es keine Verbindung dahin gibt.  Es wird keine Möglichkeit geben, die Clients so zu konfigurieren, dass sich diese die Zeit direkt von DCs holen.

Deswegen die Frage, ob sich zwei NTP Server in die Quere kommen können.

[NorbertFe 2.034]

in die Quere kommen sicherlich nicht. Du musst auf dem member dann den NTP Server aktivieren und die Host-Firewalll öffnen. Hast du zwar dann eine Kaskade, was das beim Troubleshooting etwas umständlich macht, aber grundsätzlich sollte das funktionieren.

[Squire 261]

Bei mir stellt die Firewall einen NTP Server zur Verfügung. Die FW zieht sich die Zeit von einem qualifizierten Server im Internet.

Der DC mit PDC Rolle holt sich seine Zeit von der Firewall ... alles andere Gedöns, was nicht im AD ist und nicht in IP Bereichen die zum AD gehören, holen sich die Zeit von der Firewall.

[NorbertFe 2.034]

vor 29 Minuten schrieb Squire:

Bei mir stellt die Firewall einen NTP Server zur Verfügung. Die FW zieht sich die Zeit von einem qualifizierten Server im Internet.

Gibt so Firewalls (namentlich Sophos XGS) die diese Funktion nicht mehr haben. Im Gegentum zum Vorgänge Sophos SG ;)

[Squire 261]

da gibt es aber einen Workaround über die Firewall ... nicht schön, aber funktioniert