Korrekt tid för Windows Server 2016

Windows-tidstjänsten är en komponent som använder en plugin-modell för klient- och servertidssynkroniseringsleverantörer. Det finns två inbyggda klientleverantörer i Windows och det finns plugin-program från tredje part. En provider använder NTP (RFC 1305) eller MS-NTP för att synkronisera den lokala systemtiden till en NTP och/eller MS-NTP kompatibel referensserver. Den andra providern är för Hyper-V och synkroniserar virtuella datorer (VM) till Hyper-V värd. När det finns flera leverantörer väljer Windows den bästa leverantören med stratumnivå först, följt av ursprungsfördröjning, ursprungsspridning och slutligen tidsskillnad.

I det här avsnittet diskuterar vi ... dessa ämnen som de relaterar till att möjliggöra korrekt tid:

• Improvements
• Measurements
• Metodtips

Domänhierarki

Domän- och fristående konfigurationer fungerar annorlunda.

• Domänmedlemmar använder ett säkert NTP-protokoll som använder autentisering för att säkerställa tidsreferensens säkerhet och äkthet. Domänmedlemmar synkroniseras med en huvudklocka som bestäms av domänhierarkin och ett bedömningssystem. I en domän finns det ett hierarkiskt tidsskikt, där varje domänkontrollant pekar på en överordnad domänkontrollant med ett mer exakt tidsskikt. Hierarkin löses till PDC eller en domänkontrollant i rotfamiljen, eller en domänkontrollant med GTIMESERV-domänflaggan, vilket anger en pålitlig tidsserver för domänen. Se avsnittet [Ange en lokal tillförlitlig tidstjänst med GTIMESERV nedan.

• Fristående datorer är konfigurerade att använda time.windows.com som standard. Det här namnet löses av din DNS-server, som ska peka mot en resurs ägd av Microsoft. Precis som alla fjärrstyrda tidsreferenser kan nätverksfel förhindra synkronisering. Nätverkstrafikbelastningar och asymmetriska nätverkssökvägar kan minska tidssynkroniseringens noggrannhet. För 1 ms noggrannhet kan du inte vara beroende av fjärranslutna tidskällor.

Eftersom gäster i Hyper-V har minst två alternativ för Windows-tidsreferenser att välja mellan, värdtid och NTP, kan du se olika beteenden beroende på om de körs i domänläge eller fristående läge som gäst.

Kritiska faktorer för korrekt tid

I varje fall för korrekt tid finns det tre kritiska faktorer:

1. Solid Source Clock – Källklockan i din domän måste vara stabil och exakt. Det innebär vanligtvis att installera en GPS-enhet eller att hänvisa till en Stratum 1-källa, med hänsyn till punkt #3. Analogin lyder: om du har två båtar på vattnet och försöker mäta nivån på en jämfört med den andra, är din noggrannhet bäst om referensbåten är mycket stabil och inte rör sig. Detsamma gäller för tiden, och om källklockan inte är stabil påverkas hela kedjan av synkroniserade klockor och förstoras i varje steg. Den måste också vara tillgänglig eftersom avbrott i anslutningen stör tidssynkroniseringen. Och slutligen måste det vara säkert. Om tidsreferensen inte underhålls korrekt eller drivs av en potentiellt skadlig part kan du exponera domänen för tidsbaserade attacker.
2. Stabil klientklocka – En stabil klientklocka säkerställer att oscillatorns naturliga drift är inneslutbar. NTP använder flera exempel från potentiellt flera NTP-servrar för att villkora och disciplinerar dina lokala datorers klocka. Det ökar inte tidens ändringar, utan saktar snarare ner eller påskyndar den lokala klockan så att du närmar dig den korrekta tiden snabbt och håller dig exakt mellan NTP-begäranden. Men om oscillatorn i klientdatorns klocka inte är stabil kan det uppstå fler variationer mellan justeringarna och de algoritmer som Windows använder för att kalibrera klockan fungerar inte korrekt. I vissa fall kan uppdateringar av inbyggd programvara behövas för korrekt tid.
3. Symmetrisk NTP-kommunikation – Det är viktigt att anslutningen för NTP-kommunikation är symmetrisk. NTP använder beräkningar för att justera tiden genom att anta att nätverkssökvägen är symmetrisk. Om den väg som NTP-paketet tar till servern tar olika mycket tid att återvända påverkas noggrannheten. Sökvägen kan till exempel ändras på grund av ändringar i nätverkstopologin eller paket som dirigeras via enheter som har olika gränssnittshastigheter.

För batteridrivna enheter, både mobila och bärbara, måste du överväga olika strategier. Enligt vår rekommendation kräver korrekt tid att klockan disciplineras en gång i sekunden, vilket korrelerar med klockuppdateringsfrekvensen. De här inställningarna förbrukar mer batterikraft än förväntat och kan störa energisparlägen som är tillgängliga i Windows för sådana enheter. Batteridrivna enheter har också vissa energilägen som hindrar alla program från att köras, vilket stör W32times förmåga att disciplinera klockan och upprätthålla korrekt tid. Dessutom kanske klockor i mobila enheter inte är särskilt exakta till att börja med. Omgivningsmiljöförhållanden påverkar klocknoggrannheten och en mobil enhet kan gå från ett omgivande tillstånd till nästa, vilket kan störa dess förmåga att hålla tiden korrekt. Därför rekommenderar Microsoft inte att du konfigurerar batteridrivna bärbara enheter med höga noggrannhetsinställningar.

Varför är tiden viktig?

Det finns många olika orsaker till att du kan behöva korrekt tid. Det vanliga fallet för Windows är Kerberos, som kräver 5 minuters noggrannhet mellan klienten och servern. Det finns dock många andra områden som kan påverkas av tidsnoggrannhet, inklusive:

• Myndighetsföreskrifter som:
  • 50 ms noggrannhet för FINRA i USA
  • 1 ms ESMA (MiFID II) i EU.
• Kryptografialgoritmer
• Distribuerade system som Cluster/SQL/Exchange och Document DBs
• Blockkedjeramverk för bitcointransaktioner
• Distribuerade loggar och hotanalys
• AD-replikering
• PCI (Payment Card Industry), för närvarande 1 sekund noggrannhet

Ytterligare referenser

• Förbättringar av tidsprecision för Windows Server 2016