Przychodzisz do pracy, a telefon już dzwoni. „Nie mogę się zalogować!” – krzyczy użytkownik. Potem drugi, trzeci… Sprawdzasz hasła – wszystko OK. Kontrolery domeny działają. Połączenia sieciowe są. A jednak połowa firmy nie może pracować.

Witaj w świecie problemów z synchronizacją czasu – najbardziej podstępnego wroga każdego administratora Active Directory.Dlaczego czas jest tak krytyczny w Active Directory?
Active Directory to nie tylko baza użytkowników i komputerów. To skomplikowany mechanizm, który opiera swoje bezpieczeństwo na protokole Kerberos. A Kerberos ma obsesję na punkcie czasu – i to nie bez powodu.

Kerberos i jego tiki czasowe

Kerberos używa znaczników czasowych (timestamps) do zabezpieczenia przed atakami typu replay. Każdy bilet Kerberos zawiera informację o czasie jego utworzenia. Gdy klient przedstawia bilet serwerowi, serwer sprawdza czy znacznik czasowy mieści się w akceptowalnym oknie czasowym – domyślnie 5 minut.
Przekroczenie tego progu to automatyczne odrzucenie uwierzytelnienia. Użytkownik dostaje tajemniczy błąd, często coś w stylu „Nie można skontaktować się z kontrolerem domeny” lub „Podane poświadczenia są nieprawidłowe„. A Ty szukasz problemu wszędzie, tylko nie tam gdzie trzeba.

Replikacja też cierpi

To nie koniec problemów. Rozsynchronizowany czas wpływa również na:
– **Replikację między DC** – konflikty przy ustalaniu, która zmiana jest nowsza
– **Certyfikaty SSL/TLS** – mogą być uznane za niewałne lub wygasłe
– **Logi i audyt** – próba ustalenia sekwencji zdarzeń staje się koszmarem
– **Zasady grupowe** – mogą nie aplikować się poprawnie
– **Backupy** – znaczniki czasowe VSS mogą być nieprawidłowe

Problemy z oprogramowaniem

Najczęściej to chyba widać jako problem z czasem na nMedica. Tak nMedica z Asseco jak zostanie zainstlowana na kompie ktory pobiera czas jak chce zacznie wrzeszczeć przy uruchamianiu o problemi z czasem. A w pewnym momencie przestanie działac.

Hierarchia czasu w domenie Windows

Windows ma elegancki, hierarchiczny system synchronizacji czasu. Zrozumienie tej hierarchii to klucz do rozwiązywania problemów.

Standardem który czesto widzimy jest to iż główny kontroler doemny pobiera czas z internetu, a inne kontrolery z niego . A stacje robocze powinny z kontrolerów.

Rozwiązanie problemu

U siebie wspomagamy sie skryptem PS, który pozwala to skonfigurować

Skrypt jest dostępny pod adresem : https://github.com/zITwziete/PS/blob/main/timesync.ps1

SKRYPT SYNCHRONIZACJI CZASU ACTIVE DIRECTORY

OPCJA 1: Sprawdź status synchronizacji czasu – Ta opcja sprawdza wszystkie kontrolery domeny i pokazuje ich aktualny czas, różnice względem komputera lokalnego oraz źródło synchronizacji. Każdy DC otrzymuje status OK (różnica mniejsza niż 30 sekund), OSTRZEŻENIE (30-60 sekund) lub KRYTYCZNY (ponad 60 sekund). To pierwsza opcja której używasz przy diagnozowaniu problemów – uruchamiaj ja regularnie, np. raz w tygodniu, zeby upewnic sie ze wszystko dziala prawidlowo. Jeśli zobaczysz status KRYTYCZNY lub OSTRZEŻENIE, to znak że trzeba podjąć działania naprawcze. 

OPCJA 2: Skonfiguruj źródło czasu PDC – Konfiguruje kontroler PDC Emulator jako główne źródło czasu dla całej domeny. PDC synchronizuje się z zewnętrznymi serwerami NTP (domyślnie polskie serwery pool.ntp.org oraz time.windows.com), a wszystkie pozostałe kontrolery domeny synchronizują się z PDC. Użyj tej opcji podczas początkowej konfiguracji nowej domeny, po reinstalacji PDC, lub gdy chcesz zmienić źródła czasu NTP. Pamiętaj że PDC musi mieć dostęp do Internetu, aby połączyć się z serwerami NTP. 

OPCJA 3: Zresetuj konfiguracje czasu DC– Resetuje i rekonfiguruje usługę W32Time na wybranym kontrolerze domeny. Skrypt wyrejestruje i ponownie zarejestruje usługę, a następnie skonfiguruj ja zgodnie z rola serwera – PDC będzie synchronizował się z zewnętrznymi NTP, a pozostale DC z hierarchia domeny. Użyj tej opcji gdy konkretny kontroler domeny ma problemy z synchronizacja czasu, po awarii serwera, lub gdy zmieniłem konfigurację ręcznie i chcesz wrocic do ustawien domyslnych. To pierwsza opcja naprawcza do wypróbowania przy problemach z pojedynczym DC. 

OPCJA 4: Wymuś synchronizacje całej domeny – Łączy się ze wszystkimi kontrolerami domeny jednocześnie i wymusza na każdym natychmiastowa synchronizacje czasu. Użyj tej opcji po wykonaniu zmian w konfiguracji czasu (np. po zmianie źródeł NTP na PDC), gdy widzisz różnicę czasu między kontrolerami, lub gdy chcesz szybko zsynchronizować cala domenę bez czekania na automatyczna synchronizacja. Ta opcja nie zmienia konfiguracji – tylko wymusza synchronizacje na bazie aktualnych ustawień. 

OPCJA 5: Uruchom tryb monitorowania – Uruchamia ciągły monitoring synchronizacji czasu z automatycznym odświeżaniem co 30 sekund (lub inny ustawiony czas). Ekran wyświetla aktualny status wszystkich kontrolerów domeny z kolorowym oznaczeniem problemów. Użyj tej opcji podczas wykonywania krytycznych zmian w infrastrukturze, gdy chcesz obserwować jak zachowuje się synchronizacja w czasie rzeczywistym, lub gdy podejrzewasz przerywane problemy z czasem. Monitoring mozesz zatrzymac w każdej chwili przez CTRL+C. Doskonale nadaje się też do prezentacji na ekranie w serwerowni. 

OPCJA 6: Testuj łączność NTP – Sprawdza czy kontrolery domeny maja dostep do zewnetrznych serwerow czasu NTP. Testuje kazdy serwer z listy (pool.ntp.org, time.windows.com, time.nist.gov) i pokazuje czy połączenie działa. Użyj tej opcji gdy PDC ma status KRYTYCZNY i podejrzewasz problemy z dostępem do Internetu, po zmianach w konfiguracji zapory, lub gdy chcesz sprawdzić czy zewnętrzne serwery NTP sa dostępne. Jeśli test pokazuje bledy, to znaczy że PDC nie może synchronizować czasu z Internetem i cala domena będzie mieć problemy. 

OPCJA 7: Napraw usługę W32Time – To zaawansowana opcja naprawy uszkodzonej usługi synchronizacji czasu. Możesz naprawić usługę lokalnie, na wybranym kontrolerze, lub na wszystkich DC jednocześnie. Proces naprawy zatrzymuje usługę, wyrejestrowuje ja, rejestruje ponownie, konfiguruje zgodnie z rola serwera i wymusza synchronizacje. Użyj tej opcji gdy usługa W32Time jest zatrzymana i nie da się jej uruchomić, gdy resetowanie przez opcje 3 nie pomoglo, gdy widzisz błędy krytyczne w dzienniku zdarzeń związane z W32Time, lub po poważniejszej awarii serwera. To opcja ostatniej szansy przed reinstalacja systemu. 

OPCJA 8: Skonfiguruj członka domeny – Konfiguruje synchronizacje czasu na stacjach roboczych i serwerach członkowskich domeny (nie-kontrolerach). Możesz skonfigurować komputer lokalny, zdalny komputer, lub wiele komputerów z listy. Dodatkowo możesz przetestować łączność czasowa z kontrolerami domeny. Użyj tej opcji gdy nowe komputery w domenie mają zły czas, gdy stacje robocze pokazują inne godziny niż serwery, po podłączeniu komputera do domeny, lub gdy komputer był długo włączony i jego zegar sie rozjechal. Konfiguracja ustawia synchronizacje z hierarchia domeny, więc komputery będą automatycznie synchronizować się z najbliższym kontrolerem. 

KIEDY UŻYWAĆ KTÓREJ OPCJI – SCENARIUSZE: 

Regularna konserwacja: Raz w tygodniu uruchom opcje 1 by sprawdzić czy wszystko działa. Jeśli wszystko OK, nie rób nic więcej. 

Nowa domena lub migracja: Uruchom kolejno opcje 2, 4, 1 – skonfigurujesz PDC, wymuszasz synchronizacje i sprawdzisz wyniki. 

Problem z jednym kontrolerem: Uruchom opcje 1 aby zidentyfikować problematyczny DC, potem opcje 3 na tym DC, a jesli nie pomoze to opcje 7-2. 

Masowe problemy z całą domeną: Uruchom opcje 6 zeby sprawdzic dostep do NTP, potem opcje 7-3 aby naprawić wszystkie DC, następnie opcje 2 i 4 aby skonfigurować i zsynchronizować. 

Problemy ze stacjami roboczymi: Uruchom opcje 8-4 by sprawdzić łączność, potem opcje 8-1 lub 8-2 aby skonfigurować komputery. Po zmianach w infrastrukturze: Użyj opcji 5 aby monitorować synchronizację w czasie rzeczywistym podczas wprowadzania zmian.

Podsumowanie

Synchronizacja czasu to fundament bezpieczeństwa i stabilności Active Directory. Rozbieżność zaledwie 5 minut może sparaliżować całą domenę, ale z odpowiednimi narzędziami i procedurami możesz temu zapobiec.

Synchronizacja czasu to nie jest coś, co konfigurujesz raz i zapominasz. To proces, który wymaga stałego nadzoru. Ale dzięki skryptom i narzędziom, możesz spać spokojnie wiedząc, że Twoja domena tyka jak szwajcarski zegarek.
Masz swoje historie z wojny z czasem w AD? Podziel się w komentarzach

Artykuł Synchronizacja czasu w Active Directory – cichy zabójca, który kładzie całą domenę pochodzi z serwisu Z IT Wzięte.

Czym jest eksport maszyny wirtualnej w Hyper-V?

Eksport w Hyper-V to proces, który tworzy pełną kopię maszyny wirtualnej — jej konfiguracji, dysków wirtualnych (VHD/VHDX) oraz bieżącego stanu (jeśli VM jest wyłączona lub działa w trybie zapisów kontrolnych). Dzięki temu można później łatwo przywrócić maszynę na tym samym lub innym hoście Hyper-V.

To nie jest pełnoprawne rozwiązanie do backupu ciągłego, ale doskonale sprawdza się w wielu przypadkach:

• przed aktualizacją systemu lub oprogramowania VM,
• przed migracją maszyny na inny serwer,
• jako doraźna kopia bezpieczeństwa.

Wymagania wstępne

Zanim przystąpisz do eksportu, upewnij się, że:

• Na dysku docelowym masz wystarczająco dużo wolnego miejsca.
• Maszyna nie wykonuje w tym czasie intensywnych operacji I/O (najlepiej ją wyłączyć lub użyć snapshotu).

1. Uruchom Menedżera Hyper-V

Otwórz „Menedżera Hyper-V” z menu Start lub virtmgmt.msc.

2. Wybierz maszynę do eksportu

Z listy maszyn wirtualnych kliknij prawym przyciskiem myszy tę, którą chcesz wyeksportować, i wybierz Eksportuj…

3. Wybierz lokalizację docelową

Wybierz folder, do którego mają zostać zapisane dane eksportowanej maszyny. Hyper-V utworzy w nim strukturę katalogów zawierającą:

• plik konfiguracyjny maszyny,
• pliki dysków wirtualnych,
• dane stanu zapisanych (jeśli są w użyciu).

4. Rozpocznij eksport

Kliknij Eksportuj i poczekaj na zakończenie procesu. Czas operacji zależy od rozmiaru dysków VM i wydajności hosta.

Rozwiązanie to nadaje się idelanie na okresową kopię całość maszyny.

Jest tylko jeden problem – duzo maszyn – duzo klikania.

Całość można uprościć skryptem Powershell , który ładnie zapyta które maszyny chcemy zgrać i gdzie.

function Check-7Zip {
    return (Get-Command "7z.exe" -ErrorAction SilentlyContinue) -ne $null
}

$has7zip = Check-7Zip

if (-not $has7zip) {
    Write-Host "  7-Zip (7z.exe) nie jest dostepny w PATH. Kompresja zostanie pominieta." -ForegroundColor Yellow
}

# Pobierz wszystkie maszyny wirtualne
$allVMs = Get-VM
$selectedVMs = $allVMs | Out-GridView -Title "Wybierz maszyny do eksportu" -PassThru

if (-not $selectedVMs) {
    Write-Host "Nie wybrano zadnych maszyn. Zakonczono." -ForegroundColor Yellow
    exit
}

$destinationPath = Read-Host "Podaj sciezka docelowa dla eksportu (np. D:\VMExport)"
if (-not (Test-Path $destinationPath)) {
    Write-Host "Tworze katalog $destinationPath" -ForegroundColor Cyan
    New-Item -ItemType Directory -Path $destinationPath -Force | Out-Null
}

# Eksport i kompresja
foreach ($vm in $selectedVMs) {
    $vmExportPath = Join-Path -Path $destinationPath -ChildPath $vm.Name
    Write-Host "Eksportuję: $($vm.Name) -> $vmExportPath" -ForegroundColor Green
    Export-VM -Name $vm.Name -Path $vmExportPath

    if ($has7zip) {
        $zipPath = "$vmExportPath.7z"
        Write-Host "Kompresuje do: $zipPath" -ForegroundColor Cyan
        & 7z a -t7z -mx=9 $zipPath "$vmExportPath\*" | Out-Null
        Write-Host "Skompresowano do $zipPath" -ForegroundColor Green

        # (Opcjonalnie) usun oryginalny folder po kompresji
        # Remove-Item -Path $vmExportPath -Recurse -Force
    }
}

Artykuł Kopia w Hyper-V pochodzi z serwisu Z IT Wzięte.

Kontroler Domeny

Nigdy, pod żadnym pozorem nie możemy dopuścić do sytuacji iż jest tylko 1 kontroler domeny . Absolutnym minimum jest posiadanie 1 głównego i 1 zapasowego kontrolera domeny . I to w ten sposób iż zapasowy jest na oddzielnej maszynie.

Jeśli nie ma zapasowego, to w przypadku wyłączenia/wysypania się głównego robi się mega problem ze wszystkim łącznie z zalogowanie , bo za wszystkie poświadczenia odpowiada kontroler domeny. I tu taki mały hint – spisujcie ( tak spisujcie, bo po roku nikt go już nie będzie pamiętał , spisać i do sejfu) hasła lokalnego administratora na taką właśnie okazję

Licencje CAL

Należy się dokładnie przyjrzeć temu co do czego będzie wykorzystywane, bo to nie jest tak że kupuje się Windows Server i zapomina o wszystkim , są jeszcze licencje dostępowe CAL (per user lub per komputer) . Windows sam nie krzyknie ze mu brakuje licencji CAL , ale w przypadku kontroli to już to sprawdzają. Tak więc wdrożenie AD to nie tylko koszt zakupu Windows Server.

Zarządzanie

Nikt nikogo nie oszukuje – AD jest czasami trudne i wymagające. Znaczy się – jest dużo rzeczy których trzeba się nauczy ć, a niektórych lekcji nie da się nauczyć tylko trzeba je przeżyć

Zarządzanie – operacje okresowe

Wdrożenie AD to nie jest operacja typu wdróż i zapomnij , nawet jeśli wszystko chodzi tak jak chcemy okresowo trzeba przynajmniej sprawdzić czy kontrolery domeny wymieniają ze sobą dane. Bo inaczej głupio jest się dowiedzieć ze kontrolery nie gadają gdy wszystko w całej firmie będzie leżeć i kwiczeć .

Podsumowując – ale czy warto ?

Jednym słowem ? TAK

Artykuł Koszt Active Directory pochodzi z serwisu Z IT Wzięte.

Artykuł Active Directory – z AD wzięte pochodzi z serwisu Z IT Wzięte.

Patrząc na listę nowości dostępną pod adresem https://docs.microsoft.com/en-us/windows-server/get-started/whats-new-in-windows-server-2022, nie można się oprzeć iż główną ideą nowego systemu jest współpraca z platformą Azure oraz ogólna poprawa bezpieczeństwa . Widać iż głównym kierunkiem rozwoju tutaj jest Azure Arc ( platforma pozwalająca łączyć ze sobą instancje lokalne i i chmurowe) .

System wymaga również UEFI Secure Boot oraz platforme TPM 2.0 ( co powinno już dawno być standardem ). Mamy tutaj również izolację rdzenia opartą o wirtualizację – bo powinno utrudnić działanie kodu wirusów . Sterowniki oczywiście muszą w tej wersji być zgodne z HVCI ( w sumie tak jak windows 11 )

Z bardziej przyziemnych i ciekawych rzeczy mamy kompresję SMB – czyli z tego co można poczytać szybsze o 20% -30% przesyłanie plików po sieci za pomocą SMB , oraz dodatkowe ustawienia bezpieczeństwa protokołu SMB (m.in. szyfrowanie AESem ) .

Z bólem trzeba przyznać że nie ma żadnych rewolucyjnych zmian w AD i GPO

Porównanie wersji 2022 https://docs.microsoft.com/pl-pl/windows-server/get-started/editions-comparison-windows-server-2022 – co ciekawe nie ma żadnego Essential

Wymagania wersji 2022 https://docs.microsoft.com/pl-pl/windows-server/get-started/hardware-requirements

Lista rzeczy które wyleciały z 2022 https://docs.microsoft.com/pl-pl/windows-server/get-started/removed-deprecated-features-windows-server-2022

Link do pobrania triala https://www.microsoft.com/en-us/evalcenter/evaluate-windows-server-2022

Największy minus Windows Server 2022 ? IMHO Koszt wdrożenia . To że nie ma update to można jeszcze przeżyć , ale czytając o tematach licencyjnych wygląda na to iż podnosząc wersję 2019 do 2022 to musimy wymienić wszystkie CALe

Artykuł Windows Server 2022 pochodzi z serwisu Z IT Wzięte.