前言#

在 Active Directory 中，时间同步几乎是所有身份认证的基础。

Kerberos、AD Replication、Certificate、Group Policy……几乎所有组件都依赖准确的时间。

微软推荐的域时间架构并不复杂：

1
Internet NTP
2
     │
3
     ▼
4
PDC Emulator
5
     │
6
     ▼
7
Other Domain Controllers
8
     │
9
     ▼
10
Domain Members

然而，我们的环境中却出现了一个比较奇怪的问题：

• PDC Emulator 已经配置公网 NTP

• Domain Controller 之间可以正常通信

• DNS 正常

• Active Directory 正常

• Secure Channel 正常

但是部分 Domain Controller 却一直使用：

1
Local CMOS Clock

最终确认，问题并不在公网 NTP 服务、DNS、基础网络通信或 Active Directory 本身，而是集中在异常 DC 本机的 Windows Time Service 配置或服务状态。

本文记录完整的排障过程，以及这次问题中最值得保留的判断思路。

Active Directory 域环境中的 NTP 基础知识#

在开始排查之前，需要先理解 Windows 域环境中的时间同步机制。

在普通工作组环境中，每台 Windows 设备可以直接向指定的公网 NTP Server 同步时间。但在 Active Directory 域环境中，Windows 默认依赖 Windows Time Service 的域层级同步机制。

Windows Time Service 的服务名称是：

1
W32Time

它负责维护 Windows 系统时间，并为 Kerberos、Active Directory、证书验证和其他依赖时间的服务提供基础。

1
Public NTP Server
2
        │
3
        ▼
4
Forest Root Domain PDC Emulator
5
        │
6
        ▼
7
Other Domain Controllers
8
        │
9
        ▼
10
Domain Member Servers and Workstations

1
netdom query fsmo

1
Get-ADDomain | Select-Object PDCEmulator

1
w32tm /config `
2
    /manualpeerlist:"time.cloudflare.com,0x8 time.google.com,0x8" `
3
    /syncfromflags:manual `
4
    /reliable:yes `
5
    /update

1
Restart-Service w32time
2
w32tm /resync /force

1
w32tm /query /configuration

1
Type

1
Type: NT5DS

1
Source: DC01.example.local

1
Source: PDC01.example.local

1
Public NTP
2
    │
3
    ▼
4
PDC Emulator
5
    │
6
    ▼
7
DC01
8
    │
9
    ▼
10
Member Server

1
w32tm /query /source

1
w32tm /query /status

1
w32tm /query /configuration

1
w32tm /query /peers

1
w32tm /monitor

1
w32tm /stripchart /computer:PDC01.example.local /samples:5 /dataonly

1
Get-WinEvent -LogName System |
2
    Where-Object {
3
        $_.ProviderName -eq "Microsoft-Windows-Time-Service"
4
    } |
5
    Select-Object -First 20 `
6
        TimeCreated,
7
        Id,
8
        LevelDisplayName,
9
        Message

本次排障环境#

本文中的服务器名称、域名和 IP 地址均已匿名化。

本次排障环境为一个已经运行多年的单林、单域 Active Directory 环境，共有四台 Domain Controller：

域成员包括多台 Windows Member Server 和 Workstation。

预期的时间同步架构为：

1
External NTP
2
      │
3
      ▼
4
PDC01 — PDC Emulator
5
      │
6
      ▼
7
DC01 / DC02 / DC03
8
      │
9
      ▼
10
Member Servers and Workstations

其中：

• PDC01 使用 Type: NTP

• PDC01 是域内唯一明确配置的可靠外部时间源

• 其他 DC 使用 Type: NT5DS

• Member Server 和 Workstation 使用 Type: NT5DS

• 域成员不一定直接同步 PDC，也可能同步其他健康 DC

故障现象#

首先在异常 DC 上查看当前时间来源：

1
w32tm /query /source

输出：

1
Local CMOS Clock

继续查看状态：

1
w32tm /query /status

输出中的关键内容：

1
Stratum: 1
2
ReferenceId: LOCL
3
Source: Local CMOS Clock

这说明当前 DC 没有使用域内上游时间源，而是直接使用本机硬件时钟。

对于非 PDC Domain Controller，这显然不是预期状态。

第一步：确认 PDC Emulator#

首先确认整个域的 FSMO Roles：

1
netdom query fsmo

输出显示所有 FSMO Roles 均位于：

1
PDC01.example.local

其中 PDC Role 也正确指向 PDC01。

继续使用 PDC Locator 明确查找 PDC Emulator：

1
nltest /dsgetdc:example.local /PDC

返回类似：

1
DC: \\PDC01.example.local
2
Flags: PDC GC DS LDAP KDC TIMESERV GTIMESERV

这说明 Active Directory 能够正确识别当前 PDC Emulator。

第二步：验证 PDC 的外部时间源#

随后在 PDC01 上检查当前时间源：

1
w32tm /query /source

输出显示已配置的公网时间源：

1
time.cloudflare.com,time.google.com

继续查看状态：

1
w32tm /query /status

关键结果类似：

1
Leap Indicator: 0 (no warning)
2
Stratum: 4
3
Source: time.cloudflare.com,time.google.com
4
Last Successful Sync Time: <timestamp>

再查看完整配置：

1
w32tm /query /configuration

关键项为：

1
Type: NTP
2
AnnounceFlags: 5
3
NtpServer: time.cloudflare.com,time.google.com

这些结果说明：

• PDC Emulator 已经能够同步外部 NTP

• PDC 的 Windows Time Service 正常运行

• 外部 NTP 不是本次故障的主要问题

第三步：检查异常 DC 的实际配置#

回到异常的 DC01，查看完整配置：

1
w32tm /query /configuration

关键输出：

1
Type: NT5DS

这表示 DC01 已经配置为通过 Active Directory 域层级发现时间源。

作为非 PDC Domain Controller，它应该通过域层级找到合适的上游时间源。在当前单域环境中，其时间链最终应能够追溯到 PDC Emulator。

但是再次查询：

1
w32tm /query /source

仍然显示：

1
Local CMOS Clock

这里出现了第一个明显矛盾：

• 配置声明它应该使用 NT5DS

• 实际状态却使用 Local CMOS Clock

因此，不能只看到 Type: NT5DS 就认为配置正常，还必须结合 source 和 status 判断实际运行状态。

第四步：使用 w32tm /monitor 查看整个域#

为了确认问题是否只发生在 DC01，执行：

1
w32tm /monitor

结果显示了多个值得注意的现象：

1
DC01
2
    RefID: LOCL
3
    Stratum: 1
4
    Offset: approximately -61 seconds
5

6
PDC01
7
    RefID: external NTP source
8
    Stratum: 4
9

10
DC02
11
    RefID: another external NTP source
12

13
DC03
14
    NTP query timeout

这说明环境中可能不只有一个时间配置问题：

• DC01 已经退回 Local CMOS Clock

• DC02 可能仍保留直接同步公网 NTP 的历史配置

• DC03 没有响应 NTP 查询

• 只有 PDC01 的状态符合预期

因此，本次故障虽然最先在 DC01 上被发现，但也暴露出整个域的 Windows Time 配置可能存在历史遗留和不一致。

第五步：检查 Active Directory 基础状态#

由于 NT5DS 依赖 Active Directory 发现 Domain Peer，下一步需要确认 DC01 是否能够正确访问域、定位 PDC 并保持正常的 Secure Channel。

1
Test-ComputerSecureChannel -Verbose

1
True

1
nltest /sc_verify:example.local

1
NERR_Success

1
nltest /dsgetdc:example.local /PDC

1
DC: \\PDC01.example.local

1
nltest /dclist:example.local

1
netdom query fsmo

1
nslookup PDC01

1
ping PDC01

第六步：查看 Windows Time Service 日志#

随后检查 System Log 中的 Windows Time Service 事件：

1
Get-WinEvent -LogName System |
2
    Where-Object {
3
        $_.ProviderName -eq "Microsoft-Windows-Time-Service"
4
    } |
5
    Select-Object -First 20 `
6
        TimeCreated,
7
        Id,
8
        LevelDisplayName,
9
        Message

发现 Event ID 129：

1
NtpClient was unable to set a domain peer to use as a time source because of discovery error.
2

3
The error was:
4

5
The entry is not found.

这是整个排障过程中最重要的一条日志。

它说明故障不只是“已经选中了时间源，但没有收到时间数据”。

更准确地说，Windows Time Service 在设置 Domain Peer 的发现阶段就已经失败了。

换句话说：

• 不是已经选择 PDC 后发生 NTP 数据包丢失

• 而是 W32Time 没有正确建立应该使用的 Domain Peer

这个区别直接改变了后续排查方向。

第七步：分析本机 W32Time 配置#

再次查看：

1
w32tm /query /configuration

发现以下组合：

1
Type: NT5DS
2
AnnounceFlags: 5

Type: NT5DS 表示服务器应通过 Active Directory 域层级发现时间源。

而 AnnounceFlags: 5 通常用于让服务器将自己声明为可靠时间源。

需要注意：

一台 Domain Controller 同时作为时间客户端和时间服务器，本身并不冲突。DC 可以从上游同步时间，同时为下游域成员提供时间。

真正值得注意的是：

• DC01 并不是当前 PDC Emulator

• 它却被标记为可靠时间源

• 它自身又只使用 Local CMOS Clock

• Windows Time Service 同时报告 Domain Peer Discovery 失败

这表明 DC01 的 W32Time 本地配置或服务状态可能保留了过去的手动配置、角色迁移遗留状态，或其他不一致配置。

仅凭 AnnounceFlags: 5 不能证明它就是 Event ID 129 的唯一直接原因，但结合当前所有现象，可以合理地把故障范围集中到 DC01 本机的 Windows Time Service。

此时继续反复执行：

1
w32tm /resync

意义有限，因为服务甚至没有正确建立 Domain Peer。

第八步：重新注册 Windows Time Service#

最终决定不再继续叠加新的注册表或 NTP 配置，而是将 Windows Time Service 恢复到较干净的默认状态。

停止服务：

1
net stop w32time

注销 Windows Time Service：

1
w32tm /unregister

重新注册：

1
w32tm /register

重新启动服务：

1
net start w32time

随后明确恢复为非 PDC DC 应有的域层级模式：

1
w32tm /config /syncfromflags:domhier /reliable:no /update

然后重新同步并触发重新发现：

1
w32tm /resync /rediscover

需要注意，下面这个命令并不存在：

1
w32tm /rediscover

/rediscover 应该作为 /resync 的参数使用。

第九步：验证修复结果#

修复完成后再次查询：

1
w32tm /query /source

输出立即变为：

1
PDC01.example.local

这说明 Windows Time Service 已经重新发现了正确的域时间源。

继续检查：

1
w32tm /query /status

应重点确认：

• Source 指向健康的域时间源

• Last Successful Sync Time 已更新

• ReferenceId 不再是 LOCL

• Stratum 不再是本地参考时钟的 Stratum 1

再检查完整配置：

1
w32tm /query /configuration

确认：

1
Type: NT5DS

并且该非 PDC DC 不再被配置为可靠根时间源。

最后再次检查事件日志：

1
Get-WinEvent -LogName System |
2
    Where-Object {
3
        $_.ProviderName -eq "Microsoft-Windows-Time-Service"
4
    } |
5
    Select-Object -First 10 `
6
        TimeCreated,
7
        Id,
8
        LevelDisplayName,
9
        Message

确认修复之后没有持续产生新的 Event ID 129。

第十步：为什么部分成员服务器仍然同步 DC01#

修复 DC01 后，检查部分 Member Server 时发现：

1
w32tm /query /source

返回：

1
DC01.example.local

一开始这很容易让人怀疑：是不是之前有 Group Policy 强制把服务器指向了 DC01？

继续查看：

1
w32tm /query /configuration

关键配置为：

1
Type: NT5DS (Local)
2
AnnounceFlags: 10 (Local)
3
NtpServer Enabled: 0 (Local)

这说明：

• 该服务器没有使用手动 NTP Peer

• 它没有启用本机 NTP Server Provider

• 它正在通过 Active Directory 域层级自动选择时间源

• 当前选择 DC01 作为 Time Partner 是正常行为

此时时间链为：

1
External NTP
2
      │
3
      ▼
4
PDC01
5
      │
6
      ▼
7
DC01
8
      │
9
      ▼
10
Member Server

只要 DC01 自身能够稳定同步 PDC01，这就是正常且受支持的域时间同步链路。

正确配置参考

1
PS C:\Windows\system32> w32tm /query /status
2
Leap Indicator: 0(no warning)
3
Stratum: 6 (secondary reference - syncd by (S)NTP)
4
Precision: -6 (15.625ms per tick)
5
Root Delay: 0.0620454s
6
Root Dispersion: 0.1516282s
7
ReferenceId: 0xC0A80107 (source IP:  192.168.1.7)
8
Last Successful Sync Time: 7/22/2026 2:32:00 PM
9
Source: DC1.example.com
10
Poll Interval: 10 (1024s)
11

12
PS C:\Windows\system32> w32tm /query /configuration
13
[Configuration]
14

15
EventLogFlags: 2 (Local)
16
AnnounceFlags: 10 (Local)
17
TimeJumpAuditOffset: 28800 (Local)
18
MinPollInterval: 6 (Local)
19
MaxPollInterval: 10 (Local)
20
MaxNegPhaseCorrection: 4294967295 (Local)
21
MaxPosPhaseCorrection: 4294967295 (Local)
22
MaxAllowedPhaseOffset: 300 (Local)
23

24
FrequencyCorrectRate: 4 (Local)
25
PollAdjustFactor: 5 (Local)
26
LargePhaseOffset: 50000000 (Local)
27
SpikeWatchPeriod: 900 (Local)
28
LocalClockDispersion: 10 (Local)
29
HoldPeriod: 5 (Local)
30
PhaseCorrectRate: 1 (Local)
31
UpdateInterval: 100 (Local)
32

33

34
[TimeProviders]
35

36
NtpClient (Local)
37
DllName: C:\Windows\system32\w32time.dll (Local)
38
Enabled: 1 (Local)
39
InputProvider: 1 (Local)
40
CrossSiteSyncFlags: 2 (Local)
41
AllowNonstandardModeCombinations: 1 (Local)
42
ResolvePeerBackoffMinutes: 15 (Local)
43
ResolvePeerBackoffMaxTimes: 7 (Local)
44
CompatibilityFlags: 2147483648 (Local)
45
EventLogFlags: 1 (Local)
46
LargeSampleSkew: 3 (Local)
47
SpecialPollInterval: 3600 (Local)
48
Type: NT5DS (Local)
49

50
VMICTimeProvider (Local)
51
DllName: C:\Windows\System32\vmictimeprovider.dll (Local)
52
Enabled: 1 (Local)
53
InputProvider: 1 (Local)
54
NtpServer (Local)
55
DllName: C:\Windows\system32\w32time.dll (Local)
56
Enabled: 0 (Local)
57
InputProvider: 0 (Local)
58

59
PS C:\Windows\system32> w32tm /query /source
60
DC1.example.com
61
PS C:\Windows\system32> w32tm /monitor
62
PDC.example.com *** PDC ***[192.168.xx.xx:123]:
63
    ICMP: 0ms delay
64
    NTP: +0.0000000s offset from PDC.example.com
65
        RefID: time.cloudflare.com [162.159.200.123]
66
        Stratum: 4
67
DC1.example.com[192.168.x.xx:123]:
68
    ICMP: 0ms delay
69
    NTP: -0.0063029s offset from PDC.example.com
70
        RefID: dc2k12.example.com [192.168.xx.xx]
71
        Stratum: 5
72
DC2.example.com[192.168.x.xx:123]:
73
    ICMP: 0ms delay
74
    NTP: +0.0046926s offset from PDC.example.com
75
        RefID: ntp1.torix.ca [206.108.0.131]
76
        Stratum: 2
77

78
Warning:
79
Reverse name resolution is best effort. It may not be
80
correct since RefID field in time packets differs across
81
NTP implementations and may not be using IP addresses.

1
gpresult /h C:\Temp\gpresult.html

1
Configure Windows NTP Client
2
Enable Windows NTP Client
3
Enable Windows NTP Server

1
Type: NT5DS (Local)

根因与证据边界#

本次排查可以确认，问题不在以下组件：

• PDC Emulator 的外部 NTP 配置

• DNS 名称解析

• Active Directory DC Locator

• Secure Channel

• DC 之间的基础网络通信

故障集中在 DC01 本机的 Windows Time Service。

DC01 的配置中同时出现：

1
Type: NT5DS
2
AnnounceFlags: 5

这说明服务器的 W32Time 配置存在不符合当前角色预期的状态。

不过，仅凭 AnnounceFlags: 5 不能证明它就是 Event ID 129 的唯一直接原因。

能够确定的是：

• W32Time 无法正确建立 Domain Peer

• 重新注册 W32Time 并恢复 domhier 配置后，DC01 立即开始同步 PDC01

• 因此，故障根源位于 DC01 本机的 Windows Time Service 配置或服务状态

• Active Directory、DNS、网络和 PDC Emulator 本身均不是这次故障的主要原因

最终时间同步架构#

整个域应该保持如下配置：

1
External NTP
2
      │
3
      ▼
4
PDC Emulator（唯一明确配置公网 NTP）
5
      │
6
      ▼
7
Other Domain Controllers（NT5DS）
8
      │
9
      ▼
10
Member Servers and Workstations（NT5DS）

其中：

• 只有 PDC Emulator 配置公网 NTP

• 其他 Domain Controller 使用 NT5DS

• Domain Member 使用 NT5DS

• 成员服务器可以同步任意健康 DC

• 所有时间链最终应追溯到 PDC Emulator

本次故障的排查思路总结#

这次问题最值得记录的，并不是最终执行了哪一条修复命令，而是如何逐层缩小故障范围。

面对：

1
Local CMOS Clock

不能直接假设是公网 NTP、UDP 123 或防火墙故障。

更有效的方法是先理解服务器在域时间层级中的角色，再判断失败发生在哪个阶段。

1
确认设备角色
2
      │
3
      ▼
4
确认 PDC Emulator 和 FSMO Roles
5
      │
6
      ▼
7
确认 PDC 外部 NTP 正常
8
      │
9
      ▼
10
检查故障服务器的 Source、Status 和 Type
11
      │
12
      ▼
13
使用 w32tm /monitor 检查全域状态
14
      │
15
      ▼
16
验证 Secure Channel、DNS 和 PDC Locator
17
      │
18
      ▼
19
检查 Windows Time Service 事件日志
20
      │
21
      ▼
22
判断是发现失败、通信失败还是本地配置异常
23
      │
24
      ▼
25
恢复 W32Time 并重新加入域时间层级
26
      │
27
      ▼
28
验证完整时间同步链

命令工具箱#

1
netdom query fsmo
2
Get-ADDomain | Select-Object PDCEmulator
3
nltest /dsgetdc:example.local /PDC
4
nltest /dclist:example.local

1
Test-ComputerSecureChannel -Verbose
2
nltest /sc_verify:example.local

1
w32tm /query /source
2
w32tm /query /status
3
w32tm /query /configuration
4
w32tm /query /peers
5
w32tm /monitor

1
w32tm /stripchart /computer:PDC01.example.local /samples:5 /dataonly

1
Get-WinEvent -LogName System |
2
    Where-Object {
3
        $_.ProviderName -eq "Microsoft-Windows-Time-Service"
4
    } |
5
    Select-Object -First 20 `
6
        TimeCreated,
7
        Id,
8
        LevelDisplayName,
9
        Message

1
net stop w32time
2
w32tm /unregister
3
w32tm /register
4
net start w32time
5
w32tm /config /syncfromflags:domhier /reliable:no /update
6
w32tm /resync /rediscover

1
gpresult /h C:\Temp\gpresult.html