安徽京准：论企业生产网北斗卫星授时服务器的重要性

摘要：保持生产环境中全网计算机时间的同步是一件很重要且必须的事情，至少在我们的网络环境中就是这样。我们的网络由一个域和一个工作组组成，域主要是财务系统，而工作组是另一个管理系统，它们都要求计算机时间的一致性，大家都知道，在一个域中计算机时间都是自动同步的，但工作组却没那么简单。

保持生产环境中全网计算机时间的同步是一件很重要且必须的事情，至少在我们的网络环境中就是这样。我们的网络由一个域和一个工作组组成，域主要是财务系统，而工作组是另一个管理系统，它们都要求计算机时间的一致性，大家都知道，在一个域中计算机时间都是自动同步的，但工作组却没那么简单。

经过讨论，我们最后一致认为全网的计算机时间应该以工作组中的 UNIX/MIS 服务器为准，于是整个网络的时间同步要求就应该如图 1 所示，即域的 PDC 与 UNIX/MIS 服务器同步，然后域成员与域 DC 同步（这里 DC 与 PDC 是一台服务器），而工作组内的计算机则直接与 UNIX/MIS 服务器同步，下面就来看看怎样实现上述要求。

网络时间同步的相关背景知识

在网络中同步时间通常使用以下的两种协议中的一种：

◆ 1. SNTP ， simple network time protocol ，简单网络时间协议

◆ 2. 时间协议（ Time Protocol ）

SNTP 是现在应用较多的一种网络时间协议， windows 域内的时间同步就是使用的这种协议，那 windows 域内时间同步的层次是怎样的呢？森林中根域的 PDC 是整个森林的时间源，然后根域中其他 DC 和子域的 PDC 就与这个根 PDC 进行时间同步，再然后域成员就与自己域中的 DC 进行时间同步，也就是说 DC 与 PDC 进行时间同步，域成员与 DC 进行时间同步，当系统启动时将进行一次同步，后面每 45 分钟再进行周期性同步，使用 UDP123 端口进行通讯。

对于第二种时间协议（ Time Protocol ），这种方法虽然并不流行了，但在一定情况下还是很有用的， Time Protocol 服务器在 TCP/UDP 37 端口上进行监听，它并不像上面一样给出特定时间，而是给出从 1900 年 1 月 1 日午夜到现在的秒数，由于时间是由 32 位表示，所以这种协议只能使用到 2036 年。  

在这里我们将结合使用这两种协议。

具体步骤

◆ 1. 实现 PDC/DC 与 UNIX/MIS 服务器的时间同步

由于这里 MIS 不是一台 SNTP 服务器，而且也不便将其配置成一台 SNTP 服务器，但发现其在监听 37 端口，可以判定它是一台 Time Protocol 服务器（ Unix 系统通常都是），于是可以在客户机上安装这种协议的客户端软件与其同步，于是在网上搜索到这样一种时间同步程序，名为 NTPclock ，既支持 SNTP 也支持 Time Protocol ，它是台湾海洋大学开发的，所以有些术语可能与我们常用的有所不同，不过这并不妨碍我们理解。 NTPclock 不需安装，为了让它随计算机一起启动，请把它放在启动菜单中。

首先双击运行它，它会在桌面显示一个浮动窗口，并显示当前系统时间，为了完成时间同步，右击此浮动窗口，然后选择 “ 网络较时设定 ” 项，弹出如图 2 的窗口，

在 “ 校时通讯协定 ” 栏选择 “Time/TCP” 或 “Time/UDP” ，也就是使用 Time Protocol ，在 “ 时间伺服器位址 ” 栏填入 MIS 服务器的 IP ，然后点击下方的 “ 立即查询主机时间 ” 按钮，如果同步成功，你将会看到系统时间的改变，并且下方的 “ 时间校正讯息 ” 栏也有相应信息提示。其他项保持默认设置，比如周期性的同步和同步后自动调整时间等，然后点击 “ 结束设定 ” 按钮退出配置。

◆ 2. 像上面一样同理在工作组内的客户机上进行相同的设置，使得工作组内的客户机与 MIS 服务器进行时间同步。

◆ 3. 域内的时间同步

Win2k/xp/2003 域成员有个 w32time 时间服务，它会自动与域 DC 进行时间同步，无需人为干涉，保持域内时间的同步是 kerberos 认证协议的一个基本要求，也是为了防止重放攻击的一种手段，如果域成员客户机与 DC 的时间相差太大的话，它的登录将不能成功，这时你可以手动调整系统时间，通常情况下，只要通讯无阻碍，域成员将自动与 DC 保持时间同步，所以在这里我们无需进一步的设置，当然如果通讯要通过防火墙时，请记得打开外出的 UDP123 端口。