域内服务器时间漂移怎么办

简短答案

域内时间要按层级同步：根域 PDC 模拟主角色（或林根 DC）对时，其余 DC 找 PDC，普通服务器找域 DC。时间漂移几乎都是某一级没对上源，逐级查而不是全群重置。

现象对照

现象	最可能的原因
某台 DC 与其他 DC 差几分钟且越来越大	该 DC 没同步到 PDC，或 PDC 本身无外部源
报 0x80070063（Kerberos 时钟偏差）	客户端与 DC 偏差超 5 分钟，同步链断了
只有个别服务器漂	该机 W32Time 配了错误源或被工具改过
重启后暂时正常、一会又漂	该机的同步周期/源不稳定

排查步骤

1. 看当前源与状态（在疑似漂移机上跑）：

   w32tm /query /status
   w32tm /query /configuration

   确认 NTP 源、分层（DC 与普通机器角色不同）正确。
2. 先修源端：根域 PDC 角色（net time/组策略「域控制器 → 域控制器策略 → NTP 提供程序」）对可信外部源；其余 DC 对 PDC；普通机器对域 DC（默认走域查找即可）。
3. 强制同步验证：

   w32tm /resync /force

   同步后再 w32tm /query /status 看漂移是否收敛。
4. 端口核对：DC 与源之间 123/UDP（NTP）与 53（DC 查找）通不通；被防火墙拦的补规则。
5. 版本差异：Server 2012/2019 与 Server 2008 条目 的同步行为有差异（2008 上部分命令行为不同），老域控混跑时逐台核对，总览见 Server 2012/2016/2019 条目；Server 2019 条目 为最新对照基准。

别在全网机器上直接「改时间」了事——先定位断在哪一级，从源端修，否则漂移会复发。

操作小结

1. w32tm /query 先看源
2. 从 PDC 源头逐级修
3. 强制同步验证收敛
4. 核对 123/53 端口

相关链接

• Server 2012/2016/2019 总览条目
• Server 2019 镜像
• Server 2008 总览条目