徹底解決 Windows Server 時間同步失敗難題

Windows Server 明明配置無誤卻突然停擺？罪魁禍首可能是伺服器時鐘。雖看似小問題，時鐘缺陷卻能威脅整個作業系統。

時間不同步引發的連鎖災難

• 網路認證失敗
• System Center Data Protection Manager (SCDPM) 代理通訊異常
• Exchange Server、ActiveSync、Outlook Web Access (OWA) 服務不可用

核心成因多指向 Kerberos 協定：其安全機制檢查票據時間戳以防重放攻擊。票據時間偏離超過 5 分鐘 即被拒絕，時鐘若 5 分鐘內未同步，Kerberos 即開始故障。

自動同步失效的典型場景

AD 環境下，網域內所有電腦時鐘自動與網域控制器同步。但以下情況易出問題：

• 網域成員與工作組成員混合環境
• 多個 AD 樹系共存
• 虛擬化環境：實體主機非網域成員，所有網域控制器皆為虛擬機。虛擬機未啟動時，主機無法與 DC 通訊，故主機常設為工作組成員

具體案例：Hyper-V 主機運行 Windows Server 2008 R2，部分客體運行 Windows Server 2003。2008 R2 客體能與主機時鐘同步，但 2003 客體可能無法與網路其餘部分同步。

解決方案：指定可靠時間源

無論何種環境，首要步驟是指定一台伺服器作為時間源：內網伺服器或 NIST (美國國家標準技術院) 原子鐘。

工作組環境：命令列配置

W32tm /config /syncfromflags:manual /manualpeerlist:<時間源 FQDN 或 IP>
W32tm /config /update

可指定多個時間源，以空格隔開。

網域環境：群組原則配置

路徑：電腦設定 → 系統管理範本 → 系統 → Windows Time Service

三大關鍵原則：

• Configure Windows NTP Client：與外部時間源同步
• Enable Windows NTP Client：與其他 Windows 伺服器同步
• Enable Windows NTP Server：向 NTP 客戶端提供時間同步

注意：若同步外部源 (如 NIST)，不可 同時啟用 Windows NTP Client/Server。防火牆需開放：UDP 123 (Windows 時間協定預設)、TCP 13、TCP 37、UDP 37 (NIST 需求)。

保持 Windows Server 時鐘同步至關重要。雖通常自動同步，但須具備手動干預能力以應對異常。