域控加入失敗真兇竟是時間不同步！一個 DC 時間同步故障的完整排查實錄

案例背景

公司部署 Windows 2000 域控制器 (DC)，第八台客戶機加入域時彈出「安全性錯誤」，前七台均正常。硬件、系統、DNS 均排查無異常，甚至重裝 DNS 服務無效。

關鍵轉折

同事隨口一句：「電腦時間顯示 12:16，手表才 11:50。」檢查發現客戶機時間比 DC 快約 25 分鐘。

根本原因

Kerberos 認證要求客戶機與 DC 時間偏差 不超過 5 分鐘（默認策略）。時間偏差導致驗證票據失效，拒絕加入域。

解決過程

1. 將客戶機時間手動調整與 DC 同步。
2. 再次在「系統屬性」→「網絡識別」→「域」輸入域名 work。
3. 順利彈出域用戶名/密碼對話框，加入成功。

經驗總結

• 域環境時間同步是核心基礎設施，必須配置可靠的 NTP 來源（DC 指向外部權威源，客戶機指向 DC）。
• 排查網絡故障時，不要忽視「時間」這個隱形殺手。
• 文檔記錄：客戶機時間需與 DC 同步或慢於 DC，但偏差不得超過策略閾值（默認 5 分鐘）。