Server 2003 über NTP mit ESX abgleichen schlägt immer fehl

[-Horst-]

Hallo,

ich habe unseren ESX nun so eingerichtet, dass er nun per NTP vom DC die Zeit bekommt.
Es funktioniert auch und ich bekomme keinen Fehler im log:

Code: Alles auswählen

Oct 23 15:03:21 esx01 ntpd[25313]: ntpd exiting on signal 15
Oct 23 15:03:21 esx01 ntpd: ntpd shutdown succeeded
Oct 23 15:03:22 esx01 ntpdate[25543]: step time server 172.17.1.42 offset -0.206716 sec
Oct 23 15:03:22 esx01 ntpd:  succeeded
Oct 23 15:03:23 esx01 ntpd[25547]: ntpd 4.1.2@1.892 Thu Feb 15 04:31:47 EST 2007 (1)
Oct 23 15:03:23 esx01 ntpd: ntpd startup succeeded
Oct 23 15:03:23 esx01 ntpd[25547]: precision = 6 usec
Oct 23 15:03:23 esx01 ntpd[25547]: kernel time discipline status 0040


Firewall ist auch offen:

Code: Alles auswählen

[root@esx01 ntp]# esxcfg-firewall --enableService ntpClient
[root@esx01 ntp]# chkconfig --level 345 ntpd on
[root@esx01 ntp]#


wenn ich nun die Zeit auf dem ESX mit der des DC vergleiche muss ich sagen, dass sie auf die sekunde gleich laufen.

Jetzt will ich in dem Windows Server 2003 welcher auf dem ESX als Gast läuft NTP nutzen.
Ich habe dann denn Microsoft KB816042 http://support.microsoft.com/kb/816042 abgearbeitet.

leider bekomme ich am Ende da immer wieder das Problem, dass Windows keinen Zeitserver findet.
Auf der Windows klappt die DNS Auflösung Problemlos also liegt es nicht dadran.
auch habe ich versucht denn Peer auf drei Arten nacheinander einzugeben:

Code: Alles auswählen

w32tm /config /manualpeerlist:ESX01,0x1 /syncfromflags:MANUAL
w32tm /config /manualpeerlist:ESX01,0x4 /syncfromflags:MANUAL
w32tm /config /manualpeerlist:ESX01,0x8 /syncfromflags:MANUAL


Aber es funktioniert auf keine dieser Arten.
Nach dem neustart des Dienst versuche ich jedesmal einen resync aber in in de rcommandozeile steht dann immer:
The computer did not resync because no time data was vaiable.

Was mach ich da Falsch?

Ich wollte es ja über di eVMware Tools machen aber unser Systemhaus sagt, da dort SAP Systeme laufen sollten wir NTP nutzen.

Viele Grüße

[chrroe]

Da wäre ich mal gespannt, warum das NTP besser sein soll, als die VMware-Tools ...

Aktiviere doch einfach mal probeweise in den VMware-Tools die Option, dass sich die VM automatisch die Zeit vom ESX holt. Das sollte problemlos klappen ...

Das funktioniert allerdings nur, solange die Zeit in der VM nicht schneller läuft als auf dem Host. Ist diese Vorraussetzung gegeben, wird die Zeit einmal pro Minute geprüft und notfalls abgeglichen.


MfG
Christoph

[irix]

Sicher das auf dem ESX nun ein ntpd laeuft welcher auch durch seine FW von aussen erreichbar ist? Weil bislang hab ich bei dir nur gesehen das du die FW fuer den ntpClient gesehen. Dein ESX NTPD muesste doch dann auch als Peer konfiguriert sein und waere bei euch dann ein Stratum 2 oder 3?

Warum holt sich dein W2k3 nicht die Zeit von eurem DC?

Achja... bei uns bekommen die SAPs ihre Zeit durch die VMware Tools da sie nicht Teil einer Windowsdomäne sind.


Wir haben hier einen Windowsserver, welcher sich auf Grund von USB Dongeln und ISDN Karten nicht virtualisieren laesst, mit einer Funkuhr ausgestattet. Diese fungiert als Stratum1 und liefert die Zeit fuer alle.

Gruss
Joerg

[-Horst-]

mhhh,
ich kann mir auhc nicht vorstellen warum es mit denn VMware-tools nicht genauso gut gehen soll, aber unser Systemhaus hat uns halt diese Möglichkeit gennant.

Ich habe es nun mal über die Tools aktiviert und werde es jetzt erstmal so lassen.

@irix
ich habe nun mal auf dem VMware Infrastructure Client geschaut und dort steht unter Configuration-->Securtity Profile
Das Outgoing Connections:
NTP (udp 123)

also ist der Service nach draussen hin O.K. aber bei incoming steht der Service nicht.
Wenn ich nun unter Properties schaue steht bei dem NTP ein hacken und der Deamon ist auf running.

[bolder]

Da wäre ich mal gespannt, warum das NTP besser sein soll, als die VMware-Tools ...

Aktiviere doch einfach mal probeweise in den VMware-Tools die Option, dass sich die VM automatisch die Zeit vom ESX holt. Das sollte problemlos klappen ...

Das funktioniert allerdings nur, solange die Zeit in der VM nicht schneller läuft als auf dem Host. Ist diese Vorraussetzung gegeben, wird die Zeit einmal pro Minute geprüft und notfalls abgeglichen.


MfG
Christoph

Du gibst dir die Antwort ja selbst. Die Zeit wird ja nur einmal pro Minute geprüft.
Der W2K3-Server sollte sich die Zeit direkt vom DC holen - wofür der Umweg über den ESX?

Olaf

[-Horst-]

weil die SAP Systeme in einer Workgroup sind und nicht in der Domain.

ich habe gerade mal folgendes im ESX versucht:

Code: Alles auswählen

[root@esx01 root]# ntpdate -q kld-dc1
server 172.17.11.78, stratum 3, offset -0.957788, delay 0.04138
24 Oct 08:34:44 ntpdate[26729]: step time server 172.17.11.78 offset -0.957788 sec


das scheint ja zu funktionieren.

Aber wenn ich:

Code: Alles auswählen

watch "ntpq -p"


steht da nur:

Code: Alles auswählen

Every 2s: ntpq -p                                                                    Fri Oct 24 09:16:48 2008

     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
 kld-dc1       0.0.0.0         16 u    - 1024    0    0.000    0.000 4000.00


aber es passiert da nix...
Muss das so sein???

[Tschoergez]

Wichtig bei der Zeitsynchronisation: Entweder, oder!
Normalerweise, in einer Domäne, würd ich die Windowsserver mit Windows-Mitteln abgleichen. (außer evtl. den DC selber, aber das ist ein anderes Thema)

Können denn andere Linux Systeme oder ESX Server von deinem NTP-ESX die Zeit holen?
Ist der ntpd überhaupt so konfiguriert, dass er als Zeitserver auch die Abfrage vom Netz zulässt?

Unten mal eine copy-past-Konfig aus meinem Notizbuch, war ne Quick-and-Dirty-Lösung, das lässt sich bestimmt noch feiner machen.

Ach ja, und schau mal, dass die Zeiten vor dem Abgleich schon einigermaßen passen. Evtl. lässt sich eine Server nicht updaten, wenn der Zeitsprung zu groß wäre.

Viele Grüße,
Jörg

Code: Alles auswählen

ESX als NTP-server konfigurieren:
Firewall nicht vergessen!! : esxcfg-firewall -q
esxcfg-firewall  --allowIncoming
Esxcfg-firewall --allowOutgoing

[root@bbn144 root]# cat /etc/ntp.conf
# Prohibit general access to this service.
#restrict default ignore

# Permit all access over the loopback interface.  This could
# be tightened as well, but to do so would effect some of
# the administrative functions.
restrict 127.0.0.1


# -- CLIENT NETWORK -------
# Permit systems on this network to synchronize with this
# time service.  Do not permit those systems to modify the
# configuration of this service.  Also, do not use those
# systems as peers for synchronization.
restrict 155.208.17.0  mask 255.255.255.0 notrust nomodify notrap


# --- OUR TIMESERVERS -----
# or remove the default restrict line
# Permit time synchronization with our time source, but do not
# permit the source to query or modify the service on this system.

# restrict mytrustedtimeserverip mask 255.255.255.255 nomodify notrap noquery
# server mytrustedtimeserverip



# --- NTP MULTICASTCLIENT ---
#multicastclient                        # listen on default 224.0.1.1
# restrict 224.0.1.1 mask 255.255.255.255 notrust nomodify notrap
# restrict 192.168.1.0 mask 255.255.255.0 notrust nomodify notrap



# --- GENERAL CONFIGURATION ---
#
# Undisciplined Local Clock. This is a fake driver intended for backup
# and when no outside source of synchronized time is available. The
# default stratum is usually 3, but in this case we elect to use stratum
# 0. Since the server line does not have the prefer keyword, this driver
# is never used for synchronization, unless no other other
# synchronization source is available. In case the local host is
# controlled by some external source, such as an external oscillator or
# another protocol, the prefer keyword would cause the local host to
# disregard all other synchronization sources, unless the kernel
# modifications are in use and declare an unsynchronized condition.
#
server  127.127.1.0     # local clock
fudge   127.127.1.0 stratum 4

#
# Drift file.  Put this in a directory which the daemon can write to.
# No symbolic links allowed, either, since the daemon updates the file
# by creating a temporary in the same directory and then rename()'ing
# it to the file.
#
driftfile /var/lib/ntp/drift
broadcastdelay  0.008

#
# Authentication delay.  If you use, or plan to use someday, the
# authentication facility you should make the programs in the auth_stuff
# directory and figure out what this number should be on your machine.
#
authenticate no

#
# Keys file.  If you want to diddle your server at run time, make a
# keys file (mode 600 for sure) and define the key number to be
# used for making requests.
#
# PLEASE DO NOT USE THE DEFAULT VALUES HERE. Pick your own, or remote
# systems might be able to reset your clock at will. Note also that
# ntpd is started with a -A flag, disabling authentication, that
# will have to be removed as well.
#
#keys           /etc/ntp/keys



Windows als NTP-Server konfigurieren:
http://www.msexchangefaq.de/verschiedenes/timesync.htm