一、先建模型Kerberos 为什么看表要理解时间同步为什么如此重要得先明白 Kerberos 认证的一个底层设计——防重放。Kerberos 认证过程中客户端向 KDC 申请票据先 TGT再服务票据每次交互的报文里都带一个时间戳timestamp。KDC 校验这个时间戳是判断这是不是一次新鲜请求的关键手段——如果时间戳太旧就认为是重放攻击直接拒绝。因此客户端和域控之间必须对得上表。Windows 给这个对表留了一个容差默认 5 分钟。意思是客户端时钟与域控时钟的偏差在 5 分钟以内认证正常一旦超过 5 分钟Kerberos 直接判失败报的就是时钟偏差错误KRB_AP_ERR_SKEW错误码 0x7。这就是那个看似玄学的现象背后的原理服务器没坏、密码也没错就是两台机器时间对不上登录就失败。二、域内时间是怎么同步的Windows 域有一套固定的时间同步层级不是各同步各的PDC 仿真器PDC Emulator是域的权威时间源。其他域控跟着 PDC 对时成员服务器和客户端跟着它登录的那台域控对时。所以整个域的时钟是否准确归根结底看两件事PDC 仿真器自己有没有对准外部 NTPPDC 和各 DC 之间、DC 和客户端之间w32time 服务是否正常在同步。三、时间不同步会长什么样时钟偏差导致的故障典型表现是这几类且都容易误判用户登录报用户名或密码不正确其实密码没错是时间不对访问文件共享、打开网络资源时弹登录失败或目标账户名称不正确报工作站与主域之间的信任关系失败部分应用SQL 链接、Exchange 等依赖 Kerberos 的认证失败日志侧的线索客户端 System 日志里来源 Kerberos-Client 的事件 ID 4报 KRB_AP_ERR_SKEW / 时间相关错误域控上的 KDC 事件看到这些症状第一时间就该怀疑时间而不是去折腾账号密码。四、排查命令先测差再看源第一步看本机时间同步状态w32tm /query /status—— 看是否在同步、上次同步时间、来源w32tm /query /source—— 当前时间源是谁第二步直接测和域控的时间差关键w32tm /stripchart /computer:DC1.corp.example.com /samples:5 /dataonly这条会连续采样 5 次打印客户端与 DC1 的偏移量。偏移超过 300 秒5 分钟就是问题所在。第三步查 PDC 仿真器是谁、权威源配置netdom query fsmo—— 找出 PDC 仿真器角色在哪台 DC 上w32tm /query /source在 PDC 上执行—— PDC 的时间源是否指向了外部 NTP第四步批量看域内时间健康w32tm /monitor在 DC 上执行—— 列出各 DC 的偏移和层级五、处置把时间校正PDC 仿真器对准外部 NTPw32tm /config /manualpeerlist:ntp.corp.example.com,0x8 /syncfromflags:manual /reliable:yes /update然后w32tm /resync立即同步再w32tm /query /status确认。/reliable:yes是把 PDC 标记为域的可靠时间源。成员服务器 / 客户端正常情况下它自己会跟域控同步偏差大了手动触发w32tm /resync。如果 resync 报错多半是 w32time 服务没跑或防火墙挡了 123 端口NTP 用 UDP 123。偏差特别大的比如差了好几天w32tm /resync有时拒绝大步修正可以先net stop w32time停服务w32tm /unregister后再w32tm /register重新注册或用w32tm /config /update强制重配再同步。六、几个容易被忽略的深坑深坑一虚拟机的时间同步打架。PDC 仿真器如果是台虚拟机要特别小心Hyper-V 的时间同步集成服务、VMware Tools 的主机时间同步会跟 Windows 的 NTP 同步打架导致 PDC 时钟反复横跳。微软的明确建议是作为 PDC 的虚拟机禁用 Hyper-V 时间同步改用外部 NTP。否则域的权威时间源自己都不稳整个域跟着漂。深坑二把成员服务器配成了独立 NTP 源。有些人图省事在普通成员服务器上配了外部 NTP——结果它跟域控对不上表这台机器上的 Kerberos 就间歇性失败。记住域内只有 PDC 仿真器需要配外部 NTP其余机器跟着域控同步即可。深坑三防火墙阻断 UDP 123。NTP 走 UDP 123 端口。跨网段、经过防火墙的域环境里这个端口没放行w32time 就会同步失败且往往被忽略因为别的流量都正常。七、防复发 巡检PDC 配可靠 NTP至少 2 个外部源用0x8客户端模式标志监控时间漂移把w32tm /stripchart或w32tm /monitor纳入巡检或用监控系统盯时间偏移虚拟机 PDC 特别对待确认 Hyper-V/VMware 时间同步已禁用避免和 NTP 打架日志告警关注 Kerberos-Client 事件 ID 4 的异常波动它是时间偏差的前哨