MEADMINIT infrastructureСвязаться+7 (968) 903-69-68
Меню

Кейс

GPO «не применяются», пароли «иногда не те»: это было время

После замены ИБП контроллер ушёл в 2018 год на час, потом вернулся. Kerberos начал отказывать выборочно. Лечили профили и «переустанавливали Windows».

Обсудить задачу Позвонить
  • Логистика, 40 ПК + терминалы, МО
  • Срок: 1 день диагностики, 2 дня закрепления NTP
  • Стек: Active Directory, w32tm, GPO, Kerberos

Исходное состояние

Что было на площадке

Тикеты: не копируются политики, сетевые диски просят пароль, RDP с «не удаётся установить доверие». На части ПК время отставало на 12 минут, на DC — прыгало после питания.

DC — виртуалка. Синхронизация с гипервизором включена одновременно с NT5DS. После блэкаута хост отдал гостю «удобное» время из BIOS.

Рамки

Ограничения и задача

  • Нельзя массово перезагружать DC в смену склада.
  • Терминалы на WinCE/тонких клиентах чувствительны к времени по-своему.
  • Внешний NTP из офиса режется политикой «интернет только через прокси» — классика.

Работы

Что сделали

  1. Зафиксировали w32tm /query /status /peers на DC и выборке ПК. Нашли двух хозяев времени.
  2. Выключили IC time sync у гостя-DC, оставили иерархию AD: PDC — к внутреннему NTP (маршрутизатор/Stratum с разрешённым UDP 123), остальные — NT5DS.
  3. Разъехавшиеся ПК — w32tm /resync, не «удали профиль». GPO сами приложились, когда билеты перевыпустились.
  4. Мониторинг: алерт при смещении > 2 минут относительно PDC.
  5. В инструкции по блэкауту: сначала время гипервизора и DC, потом запуск остальных гостей.

Факт

Результат

  • Политики применяются, лишние запросы пароля ушли.
  • После следующего теста ИБП часы не разъехались.
  • Переустановка Windows как «лечение GPO» прекратилась — это было дорогое шаманство.

Практика

Выводы

  • Kerberos живёт временем. 5 минут — уже край, 12 минут — кладбище билетов.
  • Виртуальный DC и sync от хоста — известный способ получить USN/time цирк после паузы VM.
  • Не лечите домен переустановкой клиентов, пока не сверили часы.

Стек

Технологии в этом кейсе

  • w32tm
  • Kerberos
  • Group Policy
  • Proxmox/Hyper-V time sync

Практика

Материалы по теме

Перелинковка

Связанные услуги

Соседние направления, которые обычно закрывают зависимости и усиливают результат выбранной услуги.

Услуга

Мониторинг серверов

Настраиваем наблюдаемость для доступности, ресурсов, сервисов и резервного копирования, исключая поток бесполезных тревог.

Подробнее
Весь каталог услуг →

Консультация

Разбрать похожую ситуацию

Опишите инфраструктуру и ожидаемый результат. Уточним вводные и предложим следующий практический шаг.

Связаться с MEADMIN +7 (968) 903-69-68