Microsoft Windows の ISE と NTP サーバの同期失敗のトラブルシューティング

概要

この文書は Cisco Identity Services Engine （ISE）および他の Linuxベース サーバが Microsoft Windows サーバでインストールされているネットワーク タイム プロトコル（NTP）サーバによって同期しないとき直面する問題を記述したものです。 この問題へのソリューションはまた提供されます。

前提条件

要件

次の項目に関する知識が推奨されます。

• Cisco ISE CLI 設定
  
  
• NTP についての基本的な知識

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

• Microsoft Windows Server バージョン 2012
  
  
• Cisco ISE ソフトウェア バージョン 1.3 以降

本書の情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。 このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。 稼働中のネットワークで作業を行う場合、コマンドの影響について十分に理解したうえで作業してください。

問題

NTP として Microsoft Windows サーバを使用するために ISE CLI を設定した後同期しません。 Microsoft Windows サーバ 2012 デフォルト ドメイン コントローラ設定は使用されます（デフォルト NTP 設定）。 ISE はローカル ソースがまだ使用されることを報告します:

ise14/admin# show ntp
Configured NTP Servers: 
 10.62.145.72

synchronised to local net at stratum 11 
 time correct to within 11 ms
 polling server every 1024 s

 remote refid st t when poll reach delay offset jitter
==============================================================================
*127.127.1.0 .LOCL. 10 l 9 64 377 0.000 0.000 0.000
 10.62.145.72 .LOCL. 1 u 226 1024 377 0.896 -3.998 4.130

* Current time source, + Candidate , x False ticker 

Warning: Output results may conflict during periods of changing synchronization.

パラメータ（到達可能性、遅延、オフセットおよびジッタ）すべては正しいようではなくそこに CLI （NTP 同期失敗）からの問題を解決する方法にです。 問題の確認に関しては、ルート レベルに行き、ntpd デーモンを詳細については問い合わせるために NTPQ ツールを使用して下さい:

[root@ise14]# ntpq

ntpq> associations

ind assID status conf reach auth condition last_event cnt
===========================================================
 1 53519 9614 yes yes none sys.peer reachable 1
 2 53520 9014 yes yes none reject reachable 1

示されているように、示される 2 つのアソシエーションがあります。 53520 アソシエーションは拒否されるとしてマークされます。 そのアソシエーションのためのいくつかの追加詳細はここにあります:

ntpq> mrv 53520 53520
assID=53520 status=9014 reach, conf, 1 event, event_reach,
srcadr=10.62.145.72, srcport=123, dstadr=10.62.145.42, dstport=123,
leap=00, stratum=1, precision=-6, rootdelay=0.000,
rootdispersion=10032.150, refid=LOCL, reach=377, unreach=0, hmode=3,
pmode=4, hpoll=10, ppoll=10, flash=400 peer_dist, keyid=0, ttl=0,
offset=-32.465, delay=0.898, dispersion=30.345, jitter=4.519,
reftime=d96b0358.fe7c815a Tue, Aug 4 2015 11:24:40.994,
org=d96b08ed.829514cf Tue, Aug 4 2015 11:48:29.510,
rec=d96b08ed.8b022d8d Tue, Aug 4 2015 11:48:29.543,
xmt=d96b08ed.8ac74cca Tue, Aug 4 2015 11:48:29.542,
filtdelay= 0.90 1.20 0.95 0.93 0.87 0.89 1.19 0.93,
filtoffset= -32.47 -27.95 -26.50 -34.32 -27.74 -18.14 -22.54 -23.79,
filtdisp= 15.63 30.97 46.32 61.68 77.05 92.44 107.82 115.48

どの同期がのために失敗するかこれが前もって設定された NTP サーバであることを確認することは可能性のあるです（10.62.145.72）。 また、ルート分散パラメータは大きいです（10,000 ms の上で）。 Microsoft Windows サーバからのこのパラメータを確認するためにこの情報を使用して下さい:

C:\Users\Administrator> w32tm /query /status
Leap Indicator: 0(no warning)
Stratum: 1 (primary reference - syncd by radio clock)
Precision: -6 (15.625ms per tick)
Root Delay: 0.0000000s
Root Dispersion: 10.0000000s
ReferenceId: 0x4C4F434C (source name: "LOCL")
Last Successful Sync Time: 04/08/2015 11:15:32
Source: Local CMOS Clock
Poll Interval: 6 (64s)

パケットキャプチャは ISE から送信 される 1秒の受諾可能なルート分散との要求を示します:

10 秒より大きいルート分散を備えているサーバからの応答はここにあります、:

その結果、ISE が要求を廃棄し、現地時間ソースと続きますこれは受け入れられません。

ルート分散は同期サブネットのルートでプライマリ基準ソースに関連して最大エラーを示す数です。 それは各 NTP サーバによって増加します。 デフォルトで自身の現地時間ソースが使用されるだけ、Microsoft サーバセット 10 秒への値（それが時間の確かな筋ではないことを）示すため。 Microsoft NTP サーバが外部 NTP で設定されるとき、この値はサーバから得られ、問題はありません。

解決策

マイクロソフトのドキュメンテーションによって、レジストリの LocalRootDispersion 値を設定することは可能性のあるです。 登録値を設定するためにこれらのステップを完了して下さい:

1. PowerShell から NTP サービスを停止して下さい（オプションで、net stop w32time コマンドを入力して下さい）:
   
   

   PS C:\Users\Administrator> Stop-Service w32time

2. 0 に登録値を設定して下さい:
   
   

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\LocalClockDispersion

3. サービスを再開して下さい（オプションで、net start w32time コマンドを入力して下さい）:
   
   

   PS C:\Users\Administrator> Start-Service w32time

4. New 値ことを確認して下さい（0）報告されます:
   
   

   C:\Users\Administrator> w32tm /query /status
   Leap Indicator: 0(no warning)
   Stratum: 1 (primary reference - syncd by radio clock)
   Precision: -6 (15.625ms per tick)
   Root Delay: 0.0000000s
   Root Dispersion: 0.0000000s
   ReferenceId: 0x4C4F434C (source name: "LOCL")
   Last Successful Sync Time: 04/08/2015 11:15:32
   Source: Local CMOS Clock
   Poll Interval: 6 (64s)

Now レポートが低い（48 ms）値もし ISE NTPQ ツール:

ntpq> mrv 53520 53520
assID=8400 status=9614 reach, conf, sel_sys.peer, 1 event, event_reach,
srcadr=10.62.145.72, srcport=123, dstadr=10.62.145.42, dstport=123,
leap=00, stratum=1, precision=-6, rootdelay=0.000,
rootdispersion=48.431, refid=LOCL, reach=377, unreach=0, hmode=3,
pmode=4, hpoll=7, ppoll=7, flash=00 ok, keyid=0, ttl=0, offset=8.206,
delay=0.514, dispersion=21.595, jitter=3.456,
reftime=d96b0c49.2c834d26 Tue, Aug 4 2015 12:02:49.173,
org=d96b175c.d472ead9 Tue, Aug 4 2015 12:50:04.829,
rec=d96b175c.d2bf9803 Tue, Aug 4 2015 12:50:04.823,
xmt=d96b175c.d284b95f Tue, Aug 4 2015 12:50:04.822,
filtdelay= 0.90 0.86 0.51 0.87 0.80 0.82 0.85 0.88,
filtoffset= 7.09 5.23 8.21 6.78 2.73 8.43 1.93 9.67,
filtdisp= 15.63 17.56 19.48 21.39 23.32 25.24 27.18 29.08

これは予想通り発生することを同期が可能にします:

ntpq> associations
ind assID status conf reach auth condition last_event cnt
===========================================================
 1 53519 9014 yes yes none reject reachable 1
 2 53520 9614 yes yes none sys.peer reachable 1

また CLI からのこの情報を確認できます:

ise14/admin# show ntp
Configured NTP Servers: 
 10.62.145.72

synchronised to NTP server (10.62.145.72) at stratum 2 
 time correct to within 80 ms
 polling server every 128 s

 remote refid st t when poll reach delay offset jitter
==============================================================================
 127.127.1.0 .LOCL. 10 l 15 64 377 0.000 0.000 0.000
*10.62.145.72 .LOCL. 1 u 26 128 377 0.514 8.206 3.456

* Current time source, + Candidate , x False ticker 

Warning: Output results may conflict during periods of changing synchronization.

追加問題

いくつかのより古い Microsoft Windows サーバ バージョンは異なるデフォルト NTP 設定があるかもしれません。 Cisco はこれらの設定が ISE によって正しく、受諾可能であるかどうか確かめることを推奨します。 これらのレジストリ 設定を確認して下さい:

• NTP サーバをイネーブルに設定するために 1 に Enabled フラグ値を変更して下さい:
  
  

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders
   \NTPServer\Enabled

• サーバタイプを変更するために NTP にタイプ Registry エントリを設定して下さい:
  
  

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters\Type

• 信頼できる時刻源を示すために 5 にアナウンス フラグ Registry エントリを設定して下さい:
  
  

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config
   \AnnounceFlags

VMware 問題

NTP 同期に関する問題は VMware バグID 2075424 によって引き起こされるかもしれません（ESXi ホストは NTP サーバによって時間を同期しません）。

問題はこれらのパッチで解決されます:

• VMware ESXi 5.5 アップデート 1
  
  
• VMware ESXi 5.1 パッチ 4
  
  
• VMware ESXi 5.0 パッチ 8

関連情報

• Cisco Identity Services Engine 管理者ガイド リリース 1.4
  
  
• テクニカル サポートとドキュメント – Cisco Systems