NTP-Synchronisierungsprobleme für Clients

[yaldoo]

Guten Morgen,

Ich nutze Debian 13 mit der neuesten Version von Samba-AD.
Ich habe die Anweisungen befolgt https://samba.tranquil.it/doc/fr/samba_ ... ebian.html
Der Chrony-Dienst läuft, der Socket hat die korrekten Berechtigungen, aber mein Server reagiert nicht auf signierte Anfragen (Länge 120)

w32tm /stripchart /computer:172.16.2.1 /samples:1 /dataonly

Code: Alle auswählen

14:57:49.034807 IP (tos 0x0, ttl 128, id 62657, offset 0, flags [none], proto UDP (17), length 76)
    10.0.248.10.54507 > 172.16.2.1.123: NTPv1, Client, length 48
        Leap indicator:  (0), Stratum 0 (unspecified), poll 0 (1s), precision 0
        Root Delay: 0.000000, Root dispersion: 0.000000, Reference-ID: (unspec)
          Reference Timestamp:  0.000000000
          Originator Timestamp: 0.000000000
          Receive Timestamp:    0.000000000
          Transmit Timestamp:   3978079066.333766699 (2026-01-22T13:57:46Z)
            Originator - Receive Timestamp:  0.000000000
            Originator - Transmit Timestamp: 3978079066.333766699 (2026-01-22T13:57:46Z)
14:57:49.034891 IP (tos 0x0, ttl 64, id 55417, offset 0, flags [DF], proto UDP (17), length 76)
    172.16.2.1.123 > 10.0.248.10.54507: NTPv1, Server, length 48
        Leap indicator:  (0), Stratum 3 (secondary reference), poll 0 (1s), precision -26
        Root Delay: 0.019027, Root dispersion: 0.000473, Reference-ID: 0x3ed281ab
          Reference Timestamp:  3978079058.980249532 (2026-01-22T13:57:38Z)
          Originator Timestamp: 3978079066.333766699 (2026-01-22T13:57:46Z)
          Receive Timestamp:    3978079069.034855657 (2026-01-22T13:57:49Z)
          Transmit Timestamp:   3978079069.034928405 (2026-01-22T13:57:49Z)
            Originator - Receive Timestamp:  +2.701088958
            Originator - Transmit Timestamp: +2.701161705

w32tm /resync /nowait

Code: Alle auswählen

15:01:52.210935 IP (tos 0x0, ttl 128, id 18487, offset 0, flags [none], proto UDP (17), length 148)
    10.0.248.10.123 > 172.16.2.1.123: NTPv3, Client, length 120
        Leap indicator:  (0), Stratum 1 (primary reference), poll 17 (131072s), precision -23
        Root Delay: 0.000000, Root dispersion: 10.000000, Reference-ID: LOCL
          Reference Timestamp:  3978079309.366612899 (2026-01-22T14:01:49Z)
          Originator Timestamp: 0.000000000
          Receive Timestamp:    0.000000000
          Transmit Timestamp:   3978079309.507616199 (2026-01-22T14:01:49Z)
            Originator - Receive Timestamp:  0.000000000
            Originator - Transmit Timestamp: 3978079309.507616199 (2026-01-22T14:01:49Z)
        (72 more bytes after the header)

Im ersten Fall erhalte ich eine Antwort, im zweiten jedoch nicht.
Ich habe alles versucht, aber nichts funktioniert. Hatten Sie schon einmal dieses Problem?

[dcardon]

Hallo Julien,

Bezüglich der DC(s): Sagt Chrony, dass er mit MS-SNTP sehr zufrieden ist?

Code: Alle auswählen

# cat  daemon.log | grep MS-SNTP
Sep  4 19:18:52 dc-xxxxx chronyd[893]: MS-SNTP authentication enabled

und dass es kein

Code: Alle auswählen

CONFIG: MS-SNTP signd operations currently block ntpd degrading service to all clients.

Denis

[yaldoo]

Vielen Dank für Ihre Antworten. Die Protokolle scheinen auf beiden Domänencontrollern in Ordnung zu sein

Code: Alle auswählen

# sudo journalctl -g "MS-SNTP"
Jan 23 08:45:13 ad-xxxxxx chronyd[801]: MS-SNTP authentication enabled

Ich habe allerdings keine Logdatei in /var/log/chrony

Ich habe versucht, ein Upgrade durchzuführen und das System neu zu starten... nichts hat funktioniert

Kann ich Ihrer Meinung nach einen NTP-Server per Gruppenrichtlinie (GPO) einbinden?

[dcardon]

Hallo Julien,

Windows-Workstations arbeiten standardmäßig im NTDS5-NTP-Modus. Das bedeutet, sie verbinden sich über eine sichere Methode (SNTP) basierend auf dem Active Directory-Konto des Rechners mit Domänencontrollern für NTP.

Bei Bedarf können Sie ein Gruppenrichtlinienobjekt (GPO) implementieren, das auf andere NTP-Server verweist. In diesem Fall wird jedoch Standard-NTP anstelle von SNTP verwendet, was meines Erachtens nur dann ein Problem darstellt, wenn Sie ein Netzwerk mit besonders hohen Sicherheitsanforderungen benötigen.

Der NTDS5-NTP-Modus sollte aber ohnehin sofort funktionieren.

Viele Grüße,

Denis