时间同步怎么做
统一时间源是审计日志可采信的前提：Linux 用 chrony 同步内外时间源，Windows 用 w32tm 指向上级时钟。典型架构是在核心区部署内部 NTP 服务——上层同步外部可靠时间源，下层为内网设备提供校时；所有服务器、交换机、防火墙与安全设备都指向内部服务，并统一时区设置。
基本信息
| Linux 组件 | chrony（chronyd 服务、chronyc 查询） |
|---|---|
| Windows 组件 | w32tm 命令与 Windows 时间服务 |
| 架构建议 | 内部 NTP 服务双源，内网设备统一指向 |
| 时区要求 | 全部设备统一（如 Asia/Shanghai） |
| 验证命令 | chronyc sources -v、chronyc tracking、w32tm /query /status |
| 监控要求 | 偏差监控与告警 |
典型使用场景
- 审计条款整改中的时间同步建设
- 多机房设备的时间源统一
- Windows 域环境的时间层级配置
- 事件复盘前的时间线校准
- 时间源故障的排查与切换验证
chrony 服务端与客户端
chrony 服务端与客户端
# 服务端 /etc/chrony.conf
server ntp.aliyun.com iburst # 上层时间源（按可达性替换）
allow 10.10.0.0/24 # 允许内网网段同步
local stratum 10 # 上级不可达时仍对外提供时间
# 客户端 /etc/chrony.conf
server 10.10.0.10 iburst # 指向内部 NTP 服务验证与 Windows 同步
验证与 Windows 同步
# Linux：启动并设为开机自启，然后核对时间源与偏差
systemctl enable --now chronyd
chronyc sources -v
chronyc tracking
# Windows：指向内部时钟源并立即校时
w32tm /config /manualpeerlist:10.10.0.10 /syncfromflags:manual /update
w32tm /resync常见偏差来源
| 来源 | 表现 | 排查方向 |
|---|---|---|
| 时区不一致 | 日志相差固定小时数 | 核对时区与设备默认设置 |
| 时间源不可达 | 偏差缓慢增大 | 检查网络与上层源连通性 |
| 手动校时残留 | 漂移无规律 | 关闭手动校时并启用 NTP |
| 虚拟化时钟漂移 | 虚拟机偏差较大 | 依赖宿主或配置客户机同步 |
建议内部服务配置两个上层源并允许本地层（local stratum），上级不可达时仍能对内提供时间，避免内网全面失去同步。
只同步服务器不同步交换机与安全设备，事件时间线仍然对不上，审计追溯时最常卡在这一步。
设备侧核对项
| 设备类型 | 核对项 | 常见问题 |
|---|---|---|
| Linux 服务器 | chrony 配置、chronyc tracking 偏差 | 系统自带服务未启用 |
| Windows 服务器 | w32tm 时间源与同步状态 | 仍指向默认外部源 |
| 交换机与路由器 | NTP 服务器地址与同步状态 | 从未配置时间源 |
| 防火墙与安全设备 | 时间源、日志时间戳与时区 | 时区与内网不一致 |
内部时间服务本身也要监控：把 chronyc tracking 的偏差值与同步状态采集到监控平台，时间源失效时能第一时间发现。