Инфраструктура (General): "Почему Kerberos не работает?" Фундамент NTP

Боль: Пользователи не могут войти в домен. Логи сыплют ошибками аутентификации. 2FA-коды "не подходят". Кластер баз данных развалился. Причина: Рассинхронизация времени (Time Drift).

В распределенных системах (Active Directory, Kerberos, Ceph, Kubernetes) время — это не просто "часы", это механизм защиты от повторного воспроизведения пакетов. Если разница между сервером и клиентом > 5 минут (для AD), всё ломается.

Классическая иерархия NTP (Network Time Protocol):

1. Stratum 0: Атомные часы, GPS.

2. Stratum 1: Серверы, подключенные к Stratum 0 напрямую.

3. PDC Emulator (в Windows AD): Должен синхронизироваться с надежным внешним источником (pool.ntp.org).

4. Все остальные DC: Синхронизируются с PDC.

5. Рядовые серверы/ПК: Синхронизируются с любым DC (автоматически).

Как настроить и проверить:

Windows (на PDC Emulator):

# Указать внешний источник
w32tm /config /manualpeerlist:"0.pool.ntp.org 1.pool.ntp.org" /syncfromflags:manual /reliable:YES /update
# Проверить статус
w32tm /query /status

Linux (modern way - Chrony):

# Показать источники и рассинхрон
chronyc sources -v
chronyc tracking

Взгляд архитектора: Настройка NTP — это нулевой шаг при развертывании любой инфраструктуры. "Вроде бы правильное" время не подходит. Оно должно быть синхронным.

#networking #ntp #time #windows #linux #sysadmin #troubleshooting

⏱️ Ubuntu 27.04 переходит на ntpd-rs. Повод проверить, кто вообще задаёт время в вашей сети

Коллеги, среда. Время — сервис, о котором вспоминают, только когда внезапно разваливается аутентификация в Kerberos.

📌 ФАКТЫ
Планы Canonical: в релизе Ubuntu 26.10 пакет ntpd-rs включён в архив для открытого тестирования, а начиная с Ubuntu 27.04 он станет системной службой времени по умолчанию.

Архитектурная причина: переход на memory-safe реализацию протокола NTP на языке Rust со встроенной поддержкой NTS (Network Time Security).

Критичность точного времени: от стабильности часов напрямую зависят валидация цепочек TLS-сертификатов, работа тикетов Kerberos, корреляция меток в журналах SIEM и сквозной аудит событий.

🛠 ПРОВЕРКА ЗА МИНУТУ
1. Хосты под управлением Linux
Bash

# Общий статус службы времени и синхронизации
timedatectl

# Текущее смещение, стратум и активный источник (chrony)
chronyc tracking

# Детальный список апстрим-серверов и их состояние
chronyc sources -v

2. Инфраструктура Windows / Active Directory
PowerShell

# Общий статус службы Windows Time и текущее смещение
w32tm /query /status

# Фактический источник синхронизации для хоста
w32tm /query /source

# Замер расхождения времени с контроллером домена в реальном времени
w32tm /stripchart /computer:dc01 /samples:5 /dataonly

⚠️ ТИПОВЫЕ ОШИБКИ В СЕТЯХ
Неверный источник на контроллере: источник у DC определяется как Local CMOS Clock или VM IC Time Synchronization Provider — в итоге время всего домена задаётся батарейкой BIOS материнской платы либо дрейфующими часами гипервизора.

Нарушение иерархии FSMO: внешний стратум NTP настроен не на держателе роли PDC Emulator, а на произвольном контроллере домена.

Конфликт синхронизации на виртуальных DC: на виртуальных машинах контроллеров домена оставлена включённой интеграция времени с хостом виртуализации (Integration Services / VMware Tools Time Sync).

💡 В ЧЁМ СУТЬ

Протокол Kerberos по умолчанию допускает расхождение часов не более 5 минут.

Иерархия времени в инфраструктуре должна быть строго монолитной:

Внешний доверенный NTP-пул → PDC Emulator → остальные DC домена → рядовые серверы и клиенты.

Любая самодеятельность в этой цепочке превращается в причину «плавающих» и трудноуловимых сбоев входа в домен.

#skills #ntp #time #activedirectory #kerberos #ubuntu #linux #sysadmin #admin_future