Como configurar um servidor de hora com autoridade no Windows Server

O Windows inclui W32Time, o serviço Hora do Windows, requerido pelo protocolo de autenticação Kerberos. O objectivo do serviço Hora do Windows é garantir que todos os computadores com o Microsoft Windows 2000 ou versões posteriores de uma organização utilizam uma hora comum.

Para garantir a utilização adequada de uma hora comum, este serviço utiliza uma relação hierárquica que controla a autoridade e não permite ciclos. Por predefinição, os computadores baseados em Windows utilizam a seguinte hierarquia:

• Todos os computadores pessoais cliente nomeiam o controlador de domínio de autenticação como sendo o respectivo parceiro de hora de entrada.
• Todos os servidores membro seguem o mesmo processo que os computadores pessoais cliente.
• Todos os controladores de um domínio nomeiam o mestre de operações do controlador de domínio principal (PDC, Primary Domain Controller) como sendo o respectivo parceiro de hora de entrada.
• Todos os mestres de operações de PDC obedecem à hierarquia de domínios na selecção do respectivo parceiro de hora de entrada.

Nesta hierarquia, o mestre de operações do PDC da raiz da floresta torna-se autoritário na organização. Recomendamos vivamente que configure o servidor de hora autoritário de forma a obter a hora a partir de hardware. Quando configura o servidor de hora autoritário de forma a sincronizar-se com uma origem de hora da Internet, não existe autenticação. Recomendamos também que reduza as definições de correcção de hora dos servidores e clientes autónomos. Estas recomendações proporcionam maior exactidão e segurança ao domínio.

Configurar o serviço Hora do Windows para utilizar um relógio de hardware interno

Para nos solicitar a configuração do serviço Hora do Windows para utilizar um relógio de hardware interno, aceda à secção "Corrigir por mim". Se preferir corrigir este problema sozinho, consulte a secção "Deixar-me corrigir o problema".

Corrigir por mim

Para corrigir este problema automaticamente, clique no botão ou hiperligação Corrigir. Clique em Executar na caixa de diálogo Transferência de Ficheiros e siga os passos indicados no assistente de correcção.



Notas:

• Este assistente pode aplicar-se apenas a versões em inglês; contudo, a correcção automática também funciona em versões do Windows noutros idiomas.
• Se não estiver a trabalhar no computador que tem o problema, pode guardar a solução de correcção numa unidade flash ou num CD e, depois, executá-la no computador que tem o problema.

Deixar-me corrigir o problema

Importante: esta secção, método ou tarefa contém passos que explicam como modificar o registo. No entanto, poderão ocorrer problemas graves se modificar o registo de forma incorrecta. Assim, certifique-se de que segue estes passos cuidadosamente. Para uma maior segurança, efectue uma cópia de segurança do registo antes de o modificar. Deste modo, pode restaurar o registo se ocorrer um problema. Para mais informações sobre como efectuar uma cópia de segurança e restaurar o registo, clique no número de artigo que se segue para ver o artigo na Base de Dados de Conhecimento Microsoft:

Para configurar o PDC principal sem utilizar uma origem de hora externa, altere o sinalizador de anúncio no mesmo. O PDC principal é o servidor que detém as funções de mestre da raiz da floresta para o domínio. Esta configuração força o PDC principal a anunciar-se como origem de hora fiável e utiliza o relógio CMOS (complementary metal oxide semiconductor) incorporado. Para configurar o PDC principal utilizando um relógio de hardware interno, siga estes passos:

1. Clique em Iniciar, clique em Executar, escreva regedit e clique em OK.
2. Localize e clique na seguinte subchave de registo:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\AnnounceFlags
3. No painel da direita, clique com o botão direito do rato em AnnounceFlags e clique em Modificar.
4. Em Editar valor DWORD, escreva A na caixa Dados do valor e clique em OK.
5. Saia do Editor de Registo.
6. Na linha de comandos, escreva o seguinte comando para reiniciar o serviço Hora do Windows e prima ENTER:
   net stop w32time && net start w32time

Nota: o PDC principal não deve ser configurado para se sincronizar consigo mesmo. Para obter mais informações sobre os motivos pelos quais o PDC principal não deve ser configurado para se sincronizar consigo mesmo, visite o seguinte Web site para ver o RFC (Request For Comment) 1305:Se o PDC principal estiver configurado para se sincronizar consigo mesmo, são registados no registo do Sistema os seguintes eventos:

Tipo de Evento: Informações
Origem do Evento: W32Time
Categoria do Evento: Nenhuma
ID do Evento: 38
Computador: Nome_do_computador
Descrição: O dispositivo de hora NtpClient não consegue alcançar ou está actualmente a receber dados horários inválidos de Endereço_IP_servidor_NTP. Para mais informações, consulte o Centro de Ajuda e Suporte em http://support.microsoft.com.

Tipo de Evento: Aviso
Origem do Evento: W32Time
Categoria do Evento: Nenhum
ID do Evento: 47
Computador: Nome_do_computador
Descrição: Dispositivo de hora NtpClient: após 8 tentativas para o contactar não foi recebida uma resposta válida da unidade configurada manualmente Endereço_IP_servidor_NTP. Este ponto será ignorado como uma origem de hora e o NtpClient irá tentar descobrir um novo ponto com este nome DNS. Para mais informações, consulte o Centro de Ajuda e Suporte em http://support.microsoft.com.

Tipo de Evento: Erro
Origem do Evento: W32Time
Categoria do Evento: Nenhum
ID do Evento: 29
Computador: Nome_do_computador
Descrição: O dispositivo de hora NtpClient está configurado para obter as horas a partir de uma ou mais origens de horas, no entanto nenhuma delas está actualmente acessível. Não será efectuada nenhuma tentativa para contactar uma origem durante 15 minutos. O NtpClient não tem nenhuma origem de hora exacta. Para mais informações, consulte o Centro de Ajuda e Suporte em http://support.microsoft.com.

Quando o PDC principal é executado sem utilizar uma origem de hora externa, é registado o seguinte evento no registo de aplicações:

Tipo de Evento: Erro
Origem do Evento: W32Time
Categoria do Evento: Nenhum
ID do Evento: 12
Descrição: Time Provider NtpClient: esta máquina está configurada para usar a hierarquia do domínio para determinar a origem da hora, mas é o emulador PDC do domínio na raiz da floresta e, por isso, não tem máquina acima dela na hierarquia do domínio para utilizar como origem da hora. É recomendado que configure um serviço de hora fiável no domínio de raiz ou que configure manualmente o PDC para sincronizar com uma origem de hora externa. Caso contrário, este computador irá funcionar como a origem de hora com autoridade na hierarquia de domínio. Se uma origem de hora externa não for configurada ou utilizada para este computador, pode escolher desactivar NtpClient.

Este texto é um lembrete para utilização de uma origem de hora externa e pode ser ignorado.

Configurar o serviço Hora do Windows para utilizar uma origem de hora externa

Para nos solicitar a configuração de um servidor de hora interno para se sincronizar com uma origem de hora externa, aceda à secção "Corrigir por mim". Se preferir corrigir o problema sozinho, consulte a secção ?Deixar-me corrigir o problema?.

Corrigir por mim

Para corrigir este problema automaticamente, clique no botão ou hiperligação Corrigir. Clique em Executar na caixa de diálogo Transferência de Ficheiros e siga os passos indicados no assistente de correcção.




Notas:

• Este assistente pode aplicar-se apenas a versões em inglês; contudo, a correcção automática também funciona em versões do Windows noutros idiomas.
• Se não estiver a trabalhar no computador que tem o problema, pode guardar a solução de correcção numa unidade flash ou num CD e, depois, executá-la no computador que tem o problema.

Deixar-me corrigir o problema

Para configurar um servidor de hora interno para sincronizar com uma origem de hora externa, siga estes passos:

1. Altere o tipo de servidor para NTP. Para tal, siga estes passos:
   1. Clique em Iniciar, clique em Executar, escreva regedit e clique em OK.
   2. Localize e clique na seguinte subchave de registo:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\Type
   3. No painel da direita, clique com o botão direito do rato em Type e clique em Modificar.
   4. Em Editar valor, escreva NTP na caixa Dados do valor e clique em OK.
2. Defina
   AnnounceFlags
   como 5. Para o fazer, siga estes passos:
   1. Localize e clique na seguinte subchave de registo:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\AnnounceFlags
   2. No painel da direita, clique com o botão direito do rato em AnnounceFlags e clique em Modificar.
   3. Em Editar valor DWORD, escreva 5 na caixa Dados do valor e clique em OK.
      
      Notas
      • Se um servidor de hora com autoridade que está configurado para utilizar um valor AnnounceFlag de 0x5 não se sincronizar com um servidor de hora a montante, um servidor cliente pode não sincronizar-se correctamente com o servidor de hora com autoridade quando a sincronização de hora entre o servidor de hora com autoridade e o servidor de hora a montante for retomada. Por isso, se tiver uma fraca ligação à rede ou outras questões que possam provocar uma falha de sincronização de hora do servidor com autoridade para um servidor a montante, defina o valor AnnounceFlag para 0xA em vez de 0x5.
      • Se um servidor de hora com autoridade que está configurado para utilizar um valor AnnounceFlag de 0x5 e para se sincronizar com um servidor de hora a montante num intervalo fixo, especificado em SpecialPollInterval, um servidor cliente pode não sincronizar-se correctamente com o servidor de hora com autoridade depois de este ser reiniciado. Por isso, se configurar o seu servidor de hora com autoridade para sincronizar-se com um servidor NTP a montante num intervalo fixo, especificado em SpecialPollInterval, defina o valor AnnounceFlag para 0xA em vez de 0x5.
3. Active o NTPServer. Para tal, siga estes passos:
   1. Localize e clique na seguinte subchave de registo:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer
   2. No painel da direita, clique com o botão direito do rato em Enabled e clique em Modificar.
   3. Em Editar valor DWORD, escreva 1 na caixa Dados do valor e clique em OK.
4. Especifique as origens de hora. Para tal, siga estes passos:
   1. Localize e clique na seguinte subchave de registo:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters
   2. No painel da direita, clique com o botão direito do rato em NtpServer e clique em Modificar.
   3. Em Editar valor, escreva Peers na caixa Dados do valor e clique em OK.
      
      Nota: Peers será substituído por uma lista de peers delimitada por espaços, a partir da qual o computador obtém carimbos de hora. Cada nome de DNS listado tem de ser exclusivo. Tem de acrescentar ,0x1 a cada nome de DNS. Se não o fizer, as alterações efectuadas no passo 5 não terão efeito.
5. Seleccione o intervalo de consulta. Para tal, siga estes passos:
   1. Localize e clique na seguinte subchave de registo:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpClient\SpecialPollInterval
   2. No painel da direita, clique com o botão direito do rato em SpecialPollInterval e clique em Modificar.
   3. Em Editar valor DWORD, escreva TimeInSeconds na caixa Dados do valor e clique em OK.
      
      Nota: TimeInSeconds será substituído pelo número de segundos que pretende entre cada consulta. O valor recomendado é 900 Decimal. Este valor configura o servidor de hora para efectuar consultas de 15 em 15 minutos.
6. Configure as definições de correcção de hora. Para tal, siga estes passos:
   1. Localize e clique na seguinte subchave de registo:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxPosPhaseCorrection
   2. No painel da direita, clique com o botão direito do rato em MaxPosPhaseCorrection e clique em Modificar.
   3. Em Editar valor DWORD, clique para seleccionar Decimal na caixa Base.
   4. Em Editar valor DWORD, escreva TimeInSeconds na caixa Dados do valor e clique em OK.
      
      Nota: TimeInSeconds será substituído por um valor razoável, como 1 hora (3.600) ou 30 minutos (1.800). O valor seleccionado dependerá do intervalo de consulta, condições de rede e origem de hora externa.
   5. Localize e clique na seguinte subchave do registo:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxNegPhaseCorrection
   6. No painel da direita, clique com o botão direito do rato em MaxNegPhaseCorrection e clique em Modificar.
   7. Em Editar valor DWORD, clique para seleccionar Decimal na caixa Base.
   8. Em Editar valor DWORD, escreva TimeInSeconds na caixa Dados do valor e clique em OK.
      
      Nota: TimeInSeconds será substituído por um valor razoável, como 1 hora (3.600) ou 30 minutos (1.800). O valor seleccionado dependerá do intervalo de consulta, condições de rede e origem de hora externa.
7. Saia do Editor de Registo.
8. Na linha de comandos, escreva o seguinte comando para reiniciar o serviço Hora do Windows e prima ENTER:
   net stop w32time && net start w32time

NOTA: Para obter uma lista dos servidores de hora disponíveis, consulte o artigo da BDC Microsoft 262680 (http://support.microsoft.com/default.aspx?scid=kb;PT-PT;262680) - Uma lista dos servidores de hora SNTP (Simple Network Time Protocol) disponíveis na Internet

Resolução de problemas

Para que o serviço Hora do Windows funcione correctamente, a infra-estrutura de rede tem de funcionar correctamente. Seguem-se alguns dos problemas mais comuns que afectam este serviço:

• Existe um problema de conectividade TCP/IP, como um gateway inactivo.
• O serviço de resolução de nomes não está a funcionar correctamente.
• A rede está com grandes atrasos, especialmente quando a sincronização ocorre através de ligações de rede alargada (WAN) de latência elevada.
• O serviço Hora do Windows está a tentar sincronizar-se com origens de hora não exactas.

Recomendamos que use o utilitário Netdiag.exe para resolver problemas relacionados com a rede. O Netdiag.exe faz parte do pacote de ferramentas de suporte do Windows Server 2003. Consulte a ajuda das ferramentas para obter uma lista completa de parâmetros da linha de comandos que pode utilizar com o Netdiag.exe. Se o problema não for resolvido, pode activar o registo de depuração do serviço Hora do Windows. Dado que o registo de depuração pode conter informações muito detalhadas, recomendamos que contacte o suporte técnico da Microsoft quando activar este registo de depuração.

Para obter uma lista completa dos números de telefone do suporte técnico da Microsoft, bem como informações sobre os custos de suporte, visite o seguinte Web site da Microsoft: Nota: Os custos normais do suporte serão aplicados a problemas e questões de suporte adicionais, não incluídos na actualização específica em questão.

O NTP suporta vários tipos diferentes de pacote. Geralmente, os clientes NTP e SNTP enviam pacotes de pedidos de modo de cliente para um servidor NTP. O servidor NTP responde com um pacote de modo de servidor. Para configurar o serviço W32time para enviar pacotes simétricos de modo activo em vez de pacotes de modo de cliente para um servidor NTP, escreva o comando que se segue numa linha de comandos:Nota: utilize o sinalizador 0x8 para forçar o W32time para enviar pedidos de cliente normais em vez de pacotes simétricos de modo activo. O servidor NTP responde a estes pedidos de cliente normais como habitualmente.

Configuração de origem de hora fiável

Um computador que seja configurado para ser uma origem de hora fiável é identificado como a raiz do serviço Hora do Windows. A raiz do serviço é o servidor autoritário para o domínio e é normalmente configurado para obter a hora a partir de um servidor NTP ou dispositivo de hardware externo. Um servidor de hora pode ser configurado como uma origem de hora fiável por forma a optimizar o modo como a hora é transferida na hierarquia do domínio. Se um controlador de domínio for configurado para ser uma origem de hora fiável, o serviço de início de sessão de rede anuncia que o controlador de domínio tem uma origem de hora fiável quando inicia sessão na rede. Quando outros controladores de domínio procurarem uma origem de hora para sincronização, seleccionarão uma origem de hora fiável primeiro, se disponível.

Sincronização especificada manualmente

Com sincronização especificada manualmente, pode configurar a obtenção de hora a partir de um único peer ou de uma lista de peers. Se o computador não for membro de um domínio, terá de ser manualmente configurado para se sincronizar com uma origem de hora especificada. Por predefinição, um computador que seja membro de um domínio é configurado para se sincronizar a partir da hierarquia do domínio. A sincronização especificada manualmente é muito útil para a raiz da floresta de um domínio ou para computadores não associados a um domínio. Quando especifica manualmente a sincronização de um servidor NTP externo com o computador autoritário do domínio, fornece hora fiável. No entanto, para fornecer exactidão e segurança elevada no domínio, recomendamos que configure o computador autoritário do domínio para sincronizar com um relógio de hardware.

Sem uma origem de hora de hardware, o W32time é configurado com um tipo NTP. Terá de reconfigurar as entradas de registo MaxPosPhaseCorrection e MaxNegPhaseCorrection. O valor recomendado é 15 minutos, ou até menos, consoante a origem de hora, condições de rede e requisitos de segurança. Este requisito também se aplica a qualquer origem de hora fiável que seja configurada como origem de hora da raiz da floresta na sub-rede de sincronização de hora. Para obter mais informações sobre estas entradas de registo, consulte a secção "Entradas de registo do serviço Hora do Windows" deste artigo.

Nota: as origens de hora especificadas manualmente não são autenticadas, a menos que seja escrito um fornecedor de hora específico para as mesmas, pelo que são vulneráveis a ataques. Além disso, se um computador se sincronizar com uma origem especificada manualmente e não com o respectivo controlador de domínio de autenticação, os dois computadores poderão não estar sincronizados. Este cenário provoca a falha da autenticação Kerberos e poderá provocar também a falha de outras acções que requeiram autenticação de rede, como a impressão ou a partilha de ficheiros. Se apenas a raiz da floresta for configurada para se sincronizar com uma origem externa, todos os outros computadores da floresta permanecem sincronizados entre si. Esta configuração dificulta ataques repetidos.

Todos os mecanismos de sincronização disponíveis

A opção "todos os mecanismos de sincronização disponíveis" é o melhor método de sincronização para utilizadores de uma rede. Este método permite a sincronização com a hierarquia do domínio e pode também fornecer uma origem de hora alternativa se a hierarquia ficar indisponível, consoante a configuração. Se o cliente não conseguir sincronizar a hora com a hierarquia do domínio, a origem de hora passa automaticamente para a origem de hora especificada pela definição NtpServer. Este método de sincronização tem grandes probabilidades de fornecer horas exactas aos clientes.

Entradas de registo do serviço Hora do Windows

As seguintes entradas de registo estão localizadas em :

Para obter mais informações sobre o serviço Hora do Windows, clique nos números de artigo que se seguem para visualizar os artigos na Base de Dados de Conhecimento da Microsoft: Para obter mais informações acerca do serviço Hora do Windows numa floresta baseada no Windows Server 2003, visite o seguinte Web site da Microsoft: