用 Windows 搭建内网 NTP 时间服务器完全指南（2026 年 9 月版）

从时钟漂移到毫秒同步：原理讲清、命令给全、坑都标出来

信息核验时点：2026 年 9 月（全文时效截至 2026 年 9 月）

你有没有遇到过这些事？

• 服务器上的日志时间对不上，排查故障时两边记录一核对，完全驴唇不对马嘴；
• 内部系统突然集体报错"证书尚未生效"，查了半天发现是某台机器的时间快了十几分钟；
• 域里有人反馈登录不上，提示认证失败，重启也没用；
• 考勤机、门禁、监控录像的时间戳各不相同，出了一点纠纷调监控，时间对不上没法当证据。

这些看起来毫不相干的问题，根子常常是同一个：内网设备的时间没有统一基准。

而解决它的成本，其实低到惊人——如果你们已经有 Windows 的机器，不需要买任何硬件、不需要装任何第三方软件，用系统自带的组件就能搭起一台内网时间服务器。

这篇文章就把这件事从头讲清楚：先弄明白 NTP 到底在干什么，再一步步把 Windows 配置成时间源，最后把验证方法、排错路径、以及若干个"网上流传但其实有出入"的配置细节一并交代清楚。

文中所有命令都经过实测或与官方文档逐条对照，涉及关键数值的地方都标了出处；全文时效截至 2026 年 9 月。

目录

1. 内网为什么需要一台自己的"报时员"
2. 先弄懂：NTP 不是"你告诉我时间，我改一下"
3. Windows 自带的时间服务，到底能不能当服务器
4. 动手前的三分钟准备
5. 核心配置：五步把 Windows 变成时间源
6. 五个流传很广、但需要说清楚的配置细节
7. 防火墙：把 UDP 123 开对
8. 客户端怎么接进来
9. 验证与排错：一套完整的自查流程
10. 进阶：让它更稳、更准、更抗折腾
11. 过时与失效方案过滤清单
12. 快问快答
13. 一页速查表
14. 数据来源与时效声明

一、内网为什么需要一台自己的"报时员"

1.1 时间不准，代价比想象的大

计算机主板上有颗 RTC 时钟芯片，靠石英晶振计时。晶振这东西本身就有频率偏差，再叠加温度变化、器件老化，一天漂几秒到几十秒都算正常。单台机器自己用，你根本感觉不到；可一旦多台设备需要协同，时间不一致立刻就会变成事故。

几个真实感很强的场景：

• 日志对不上。数据库记录提交时间 10:00:03，应用日志写 10:02:15，中间这两分钟是故障还是正常波动？没法判断。分布式追踪、全链路监控更是一见到时间漂移就全乱。
• HTTPS 与证书校验失败。证书的有效期判断依赖本机时间，本机时间跑到签发时间之前，就会报"证书尚未生效"；跑到过期之后，就是"证书已过期"。批量办公电脑集体中招，往往就是时间源出了问题。
• 域内认证失败。Kerberos 协议对时间极其敏感——域内时间差超过 5 分钟，认证直接失效。这也是为什么微软把时间服务看得这么重。
• 审计与合规过不了。等级保护、财务审计、等保测评都会关注"全网时钟是否统一、是否有可信时间源"。
• 业务数据错乱。考勤打卡顺序、监控录像与报警记录的对应关系、工单流转时长统计，全部依赖时间戳的单调与一致。

1.2 为什么不干脆全用互联网时间源

"每台机器都连 time.windows.com 不就行了？"理论上可以，实际上问题不少：

• 物理隔离的内网根本连不出去。工控网、涉密网、某些财务专网，出网这条路直接是断的。
• 出口带宽和稳定性。几百台设备在开机高峰同时出去对时，白白占用出口；而且公网 NTP 在国内的可用性也参差不齐。
• 单点依赖。上游源一旦不可达，所有设备各自漂移，而且互相之间没有共同基准。
• 安全与可管性。你无法审计和控制每台设备在对谁的时间。

集中一台内网时间源，让所有设备向它看齐，是工程上最省事也最稳的做法。哪怕出口断了，内网内部依然高度一致。

1.3 顺带认识一下"层级"（Stratum）

NTP 用 Stratum 表示一台机器距离权威时钟有多远，可以理解成一场接力赛：

你从公网公共源（比如阿里、腾讯的 NTP）取时间，那台机器通常是 Stratum 2 或 3；内网设备再从你这台机器取时间，就变成 Stratum 3 或 4。

层级不是越少越好，也不是越多越好——它只表示"距离权威源的跳数"。内网多加一层带来的延迟通常在毫秒级，对绝大多数办公场景毫无影响。

二、先弄懂：NTP 不是"你告诉我时间，我改一下"

很多人以为 NTP 就是客户端问一句"现在几点"，服务器答一句，然后客户端把时间改过去。

真这么做，精度会烂得没法看——因为网络传输要花时间，你不知道这条消息在路上走了多久。

NTP 的真正做法是算出来的。一次交互会产生四个时间戳：

• t1：客户端发出请求的本地时刻
• t2：服务器收到请求的服务器时刻
• t3：服务器发出响应的服务器时刻
• t4：客户端收到响应的本地时刻

由此可以算出两件事：

• 往返延迟：delay = (t4 − t1) − (t3 − t2)
• 时钟偏移：offset = [(t2 − t1) + (t3 − t4)] ÷ 2

用这个 offset 去校正本地时钟，就把"网络走了多久"这个干扰项抵消掉了大半。这也是为什么 NTP 在局域网里能做到毫秒级、公网也能维持在几十毫秒。

理解了这一点，后面的很多设计就好懂了：为什么它会反复采样、为什么要设最小/最大轮询间隔、为什么它会把明显异常的样本先"观察"一段时间再接受——都是为了让那几个时间戳尽量干净。

三、Windows 自带的时间服务，到底能不能当服务器？

3.1 它一直都在，只是默认"只问不答"

微软自带的时间服务叫 Windows Time Service，服务名是 w32time，进程通常是 svchost.exe -k w32time。

它默认是客户端角色：会定期去找上游要时间、把本地时钟校准过去，但不监听 UDP 123 端口，也不回应别人的请求。

这就是绝大多数人"照着教程配了却不好使"的根本原因——服务在跑，不代表它在提供时间服务。

判断角色有没有打开，一条命令就够：

netstat -an | findstr ":123"

如果什么都没显示，说明这台机器压根没有在听 123 端口，NTP 服务端角色没开。

顺带一个实用小常识：123 这个数字在端口列表里很"热心"，findstr ":123" 有可能顺带匹配到 1234、5123 之类。稳妥一点可以写成 findstr ":123 "（注意结尾有个空格），或者干脆用 netstat -anp UDP 只看 UDP。

3.2 它的精度，其实比印象中好得多

在网上流传着一个说法："Windows 时间服务精度太差，根本配不上做服务器。"

这个印象来自很老的版本，已经过时了。

• Windows 2000 ～ Server 2012 R2 时代：微软官方明确说，W32Time 只需要满足"Kerberos 认证所需的精度"，也就是 5 分钟容差量级，不保证对外提供高精度时间。这个定位带来了很差的口碑。
• Windows 10 与 Windows Server 2016 起：微软对 W32Time 做了大幅改进，在满足前提条件时可以做到 1 毫秒级别。

微软官方给出的支持边界大致是这样的：

结论很明确：日常办公内网、工厂车间、酒店门禁、学校机房，Windows 方案绰绰有余。真要微秒级同步的那种场景（高频交易、精密测控），才需要考虑专用授时设备或 Linux 上的 chrony。

3.3 你的系统版本支持吗

家庭版那一行值得单独说，后面第六章会展开。

四、动手前的三分钟准备

4.1 确认服务状态和启动类型

打开 PowerShell（记得以管理员身份运行）：

Get-Service w32time | Select-Object Name, DisplayName, Status, StartType

正常应该看到 Status 为 Running、StartType 为 Automatic 或 Manual。如果是 Stopped，先启动它：

Set-Service w32time -StartupType Automatic
Start-Service w32time

4.2 确认系统版本

$os = Get-CimInstance Win32_OperatingSystem
"$($os.Caption)  内部版本 $($os.BuildNumber)"

您也可以用最土的办法：按 Win + R，输入 winver 回车，弹窗里会写清楚版本号。

4.3 网络与架构上的三个决定

第一，给这台机器一个固定 IP。

客户端大多是用 IP 直接指向它的（因为对时的时候 DNS 可能还没就绪），你要是让它走 DHCP，某天租约变了地址，全内网设备就集体失联。要么配静态 IP，要么在 DHCP 里做地址保留。

第二，想清楚谁是上游。

这台机器自己也得有个可信的时间来源。建议至少配 2 个上游，用空格分隔写进手动对等列表，互为备份。国内常用且可达性较好的公共时间源有：

• ntp.aliyun.com 与 ntp1.aliyun.com（阿里公共 NTP）
• time1.cloud.tencent.com 至 time5.cloud.tencent.com（腾讯公共 NTP）
• cn.pool.ntp.org（NTP Pool 中国区）

如果内网完全无法出网，也可以只依赖本机时钟对外授时，但那只能保证"内网一致"，保证不了"绝对正确"——这一点第九章还会说。

第三，考虑一下要不要双机。

对时间敏感的业务（数据库集群、域环境、审计系统），建议部署两台互为备份，客户端同时指向两个 IP。Windows 客户端支持填写多个源。

4.4 如果跑在虚拟机上，先做一件事

把宿主机的时间同步关掉。

• VMware：虚拟机设置里取消勾选"将客户机时间与主机同步"，或在 .vmx 里设 tools.syncTime = "FALSE"
• Hyper-V：虚拟机设置 → 集成服务 → 取消勾选"时间同步"

不关掉它，你在虚拟机里怎么配都会被宿主机按住，而且会形成两条互相打架的时间链路，时钟会周期性抖动。

五、核心配置：五步把 Windows 变成时间源

以下命令都需要以管理员身份运行。PowerShell 和 CMD 都可以，两种写法我都会给。

第 1 步：先停掉服务

net stop w32time

为什么要先停？ 因为 W32Time 在运行中可能会把内存里的状态回写到注册表。你先改注册表再重启服务，改动有被覆盖的风险。先停再改，是最稳的顺序。

第 2 步：指定上游时间源

w32tm /config /manualpeerlist:"ntp.aliyun.com,0x8 ntp1.aliyun.com,0x8 time1.cloud.tencent.com,0x8" /syncfromflags:manual /reliable:yes /update

这条命令里的每个参数都有用处：

关于 ,0x8 的常见困惑：这个标志位其实有四个取值——0x1（启用特殊轮询间隔）、0x2（仅作后备）、0x4（对称主动模式）、0x8（作为客户端使用）。日常场景用 0x8 就够了；只有在你要强制使用固定轮询间隔时才需要加 0x1，细节见第六章。

第 3 步：打开"对外提供服务"的总开关（最关键的一步）

这才是真正决定"别人能不能问你时间"的那个开关，它的默认值是 0，也就是关闭。

reg add "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer" /v Enabled /t REG_DWORD /d 1 /f

PowerShell 等价写法：

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer" -Name "Enabled" -Value 1 -Type DWord

如果你只看一条记住，就记住这一条：网上很多教程只提 AnnounceFlags，却没提这个 Enabled，结果照着配完端口都不监听。

第 4 步：设置 AnnounceFlags

reg add "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config" /v AnnounceFlags /t REG_DWORD /d 5 /f

这个值是什么意思、为什么是 5、什么时候不该用 5，第六章会详细讲。

第 5 步：启动服务，并让它立刻重新读取配置

net start w32time
w32tm /config /update
w32tm /resync /rediscover

/resync 是"马上对一次时"，/rediscover 是"顺便重新发现一下可用的时间源"。

这里别省掉 w32tm /config /update。 光重启服务，W32Time 不一定会重新读取你改过的注册表值——这是第六节要讲的第四个细节。

5.6 一键脚本：PowerShell 版

把上面五步串起来，再加自动权限检查、防火墙放行和验证。直接整段复制到管理员 PowerShell 里跑即可。

# Windows NTP 服务器一键配置脚本
# 用法：以管理员身份运行 PowerShell，粘贴执行

$ErrorActionPreference = "Stop"

# ── 0. 权限检查 ──────────────────────────────────
$principal = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())
if (-not $principal.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) {
    Write-Host "[错误] 请以管理员身份重新运行 PowerShell。" -ForegroundColor Red
    exit 1
}

# ── 1. 上游时间源（按你的网络情况修改）────────────
$upstreams = "ntp.aliyun.com,0x8 ntp1.aliyun.com,0x8 time1.cloud.tencent.com,0x8"

Write-Host "[1/7] 停止 Windows 时间服务..." -ForegroundColor Cyan
Stop-Service w32time -Force

Write-Host "[2/7] 配置上游时间源..." -ForegroundColor Cyan
w32tm /config /manualpeerlist:$upstreams /syncfromflags:manual /reliable:yes /update

Write-Host "[3/7] 打开 NTP 服务器开关..." -ForegroundColor Cyan
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer" -Name "Enabled" -Value 1 -Type DWord

Write-Host "[4/7] 设置 AnnounceFlags..." -ForegroundColor Cyan
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Config" -Name "AnnounceFlags" -Value 5 -Type DWord

Write-Host "[5/7] 设置服务为自动启动..." -ForegroundColor Cyan
Set-Service w32time -StartupType Automatic

Write-Host "[6/7] 启动服务并重新读取配置..." -ForegroundColor Cyan
Start-Service w32time
w32tm /config /update
w32tm /resync /rediscover

Write-Host "[7/7] 放行防火墙 UDP 123 入站..." -ForegroundColor Cyan
if (-not (Get-NetFirewallRule -DisplayName "W32Time NTP Server (UDP 123)" -ErrorAction SilentlyContinue)) {
    New-NetFirewallRule -DisplayName "W32Time NTP Server (UDP 123)" -Direction Inbound -Protocol UDP -LocalPort 123 -Action Allow -Profile Domain,Private | Out-Null
}

# ── 验证 ────────────────────────────────────────
Start-Sleep -Seconds 3
Write-Host "`n===== 服务状态 =====" -ForegroundColor Green
w32tm /query /status
Write-Host "`n===== 端口监听情况（应出现 UDP 0.0.0.0:123）=====" -ForegroundColor Green
netstat -ano | Select-String ":123 "
Write-Host "`n配置完成。若上方端口未出现 123，请重启一次系统后复查。" -ForegroundColor Yellow

5.7 一键脚本：CMD 版

不喜欢 PowerShell 的，用这个等价版本。

@echo off
echo [1/6] 停止时间服务...
net stop w32time

echo [2/6] 配置上游时间源...
w32tm /config /manualpeerlist:"ntp.aliyun.com,0x8 ntp1.aliyun.com,0x8 time1.cloud.tencent.com,0x8" /syncfromflags:manual /reliable:yes /update

echo [3/6] 打开 NTP 服务器开关...
reg add "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer" /v Enabled /t REG_DWORD /d 1 /f

echo [4/6] 设置 AnnounceFlags...
reg add "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config" /v AnnounceFlags /t REG_DWORD /d 5 /f

echo [5/6] 放行防火墙...
netsh advfirewall firewall add rule name="W32Time NTP Server" dir=in action=allow protocol=UDP localport=123 profile=domain,private

echo [6/6] 启动服务并同步...
net start w32time
w32tm /config /update
w32tm /resync /rediscover

echo.
echo 验证中...
w32tm /query /status
netstat -an | findstr ":123 "
pause

跑完之后，如果 netstat 那行输出了 UDP 0.0.0.0:123，恭喜，你的 NTP 服务器已经在线了。

六、五个流传很广、但需要说清楚的配置细节

这一节是全篇最值得细看的部分。原因是：网上关于 Windows NTP 的教程，绝大多数是互相抄的，其中有些数值被抄得走了样，还有些关键前提被抄丢了。下面把有争议的五处逐条摊开说。

6.1 AnnounceFlags 设成 5，到底对不对

先给结论：定义没错，5 是微软官方文档里的推荐值，但有几个重要限定条件。

先看这个值本身的位含义。微软官方对 AnnounceFlags 的定义如下：

它是按位或（bitwise OR）组合的。5 = 1 + 4，含义就是"始终宣告自己既是时间服务器、又是可靠时间源"。

而微软官方那篇《如何配置权威时间服务器》（KB816042）里，写的操作步骤就是把 AnnounceFlags 设为 5。所以这个数值本身是对的、有官方出处的。

但有三个限定，抄教程的人经常丢掉：

限定一：这个值的默认值其实是 10，不是 5。

域成员、独立客户端与独立服务器，默认值都是 10（0xA = 0x02 + 0x08，即"自动判断"）。也就是说，系统出厂时走的是"自动模式"，你会看到它自己决定要不要对外宣告。改成 5 是把它从"自动"切成"强制"。

限定二：某些情况下，官方建议改用 10 而不是 5。

KB816042 在"设为 5"的步骤后面紧跟了一条注意事项，大意是：

如果这台权威时间服务器与上游时间源之间可能失联（比如网络质量不稳定），那么当下游客户端来同步时可能失败。因此如果网络连接不佳，或存在其他可能导致上游同步失败的因素，请把 AnnounceFlags 设为 0xA（即 10）而不是 0x5。

同一条注意事项还提到另一种情况：如果这台服务器被配置成按 SpecialPollInterval 固定间隔与上游同步，重启之后下游客户端可能无法正常同步，同样建议改用 10。

道理其实很直白：

• 值 5 的口径是"我永远可靠"——哪怕它自己已经断网、时间正在漂，它对外还是宣称"信我"；
• 值 10 的口径是"我自动判断"——一旦发现自己拿不到可信源，就会降级、不再宣称可靠，下游客户端会自动去找别的源。

所以选择逻辑是：

限定三（最重要）：在非域环境下，它根本不是那把开关。

这一点必须先看清微软对它的原话定位——AnnounceFlags "只由运行 Windows 时间服务的域控制器使用"，它的作用机制是通过 Netlogon 在域内"宣告"自己的身份，让域里其他机器在选时间源时能发现它。

换句话说，它管的是"自我介绍"，不是"开不开门"。

在工作组（非域）环境里，既没有 Netlogon 这套宣告机制，也没人会来"发现"它，所以你把这个值改成 5、10、0，对"别人能不能连上你、能不能拿到时间"几乎没有影响。

真正决定这件事的，是上一章第 3 步那个 NtpServer\Enabled。

这就是为什么很多人配完发现端口没监听：他们改了 AnnounceFlags，却漏了 Enabled，等于把自己介绍得再响亮，门却是锁着的。

6.2 SpecialPollInterval 的默认值到底是多少

网上常见说法是"默认 604800 秒，也就是 7 天"。

这个说法只对了一半——它有两个默认值，取决于机器是不是域成员：

所以严格来说：工作组的机器默认确实是 7 天，域成员是 1 小时。写教程时一刀切地说"默认 7 天"，在域环境里就不成立了。

但比默认值更值得说清楚的，是下面这件事——这个参数并不是设了就一定生效。

微软文档里写得明白：只有当手动对等列表里带了 0x1 标志（SpecialInterval）时，W32Time 才会使用 SpecialPollInterval；否则它会改用 MinPollInterval 与 MaxPollInterval 这一对参数做"自动浮动轮询"。

对比一下就很清楚了：

REM 写法 A：不带 0x1 —— 走自动浮动轮询，SpecialPollInterval 不生效
w32tm /config /manualpeerlist:"ntp.aliyun.com,0x8" /syncfromflags:manual /update

REM 写法 B：带 0x1（0x1 + 0x8 = 0x9）—— 走固定间隔轮询
w32tm /config /manualpeerlist:"ntp.aliyun.com,0x9" /syncfromflags:manual /update

用了写法 B 之后，还要确保 SpecialPollInterval 的值落在一个合理的区间里。这里有个很隐蔽的坑，出自微软 KB2638243：当 SpecialPollInterval 小于 (2 ^ MinPollInterval) × (HoldPeriod + 1) 时，它可能不生效。

代入默认值算一下：域成员 MinPollInterval 默认是 10、HoldPeriod 默认是 5，于是 (2^10) × (5+1) = 6144 秒。也就是说，如果你把 SpecialPollInterval 设成 3600（很常见的做法），恰好低于 6144，落入这个坑里。解决办法是同时把 MinPollInterval 调小。

不过说实话，对绝大多数内网场景，我有更省事的建议：

服务器这台，让它用自动浮动轮询就够了——它对上游只需要"取一个可靠基准"，一小时一次、一天一次都无所谓。真正需要调的是客户端那侧的期望精度，而不是服务器自己的取源频率。

如果你确实要给客户端压紧轮询频率，可以参考微软在"高精度配置"文档里的建议：把 MinPollInterval 与 MaxPollInterval 都设为 6，也就是 64 秒轮询一次。

6.3 家庭版能不能当 NTP 服务器——能，但别指望图形界面

结论：可以。

w32time 服务在家庭版里一模一样地存在，注册表路径完全一致，上面所有命令都能正常使用。

但家庭版有两个实际差别，动手前得知道：

第一，家庭版没有组策略编辑器（gpedit.msc）。

组策略编辑器是微软给专业版及以上提供的管理组件，家庭版被刻意裁剪掉了。所以网上那些"打开组策略 → 计算机配置 → 管理模板 → 系统 → Windows 时间服务 → 配置 Windows NTP 客户端"的教程，家庭版用户一个都走不通，只能用注册表或命令行。

（网上确实流传着用 DISM 把组策略组件包补装回家的办法，甚至还有各种"一键修复工具"。这些做法属于非官方改造，可能影响系统更新、带来稳定性风险，不建议在自己主力机上折腾。做时间服务器这事根本用不到组策略，改注册表就够。）

第二，家庭版不能加入域。

于是上一节说的 AnnounceFlags 的"宣告"作用，在家庭版上完全是空的。这反过来又印证了那句话：真正管用的是 NtpServer\Enabled，不是 AnnounceFlags。

最后说句实在话：家庭版做时间源，适合家里、工作室、临时网络玩玩。正规生产环境还是用 Server 版更稳妥——桌面系统的节能策略、休眠、自动更新重启，都会影响授时的连续性。

6.4 Restart-Service w32time -Force 里的 -Force 合法吗

合法，而且是 PowerShell 官方文档里就有的参数。

微软官方对 Restart-Service 给出的语法是：

Restart-Service -Name 服务名 [-Force] [-PassThru] [-Include 服务名] [-Exclude 服务名] [-WhatIf] [-Confirm]

（说明：CLI 文档惯例中方括号表示可选参数，此处以文字标注，确保纯文本渲染）

-Force 的作用，官方解释是"覆盖那些会阻止命令成功的限制"，并且举了个很具体的例子：Force 会强制停止并重启"带依赖服务"的服务。

所以 Restart-Service w32time -Force 语法没问题，可以放心用。

不过要提醒一句：w32time 一般没有依赖服务，这种情况下 -Force 起不到额外作用，属于"保险起见"；但如果你的环境里恰好存在依赖它的服务，不加 -Force 就会直接报错。

而比 -Force 更重要的，是别把重启服务当成"配置生效"的唯一手段。 正确的做法是两条一起用：

# 先通知服务重新读取配置
w32tm /config /update

# 再重启服务（-Force 可选；w32time 通常无依赖服务）
Restart-Service w32time -Force

只重启不 /update，是另一个高频踩坑点。

6.5 一个反直觉的现象：重启后"过一会儿才同步"是正常的

刚配完重启，马上跑 w32tm /query /status，可能会看到 Source 是 Local CMOS Clock 或者显示"尚未同步"，于是心里一紧：又失败了？

先别急。

W32Time 内置了样本过滤机制：HoldPeriod（默认 5）和 SpikeWatchPeriod（默认 900 秒）。它的逻辑是——对明显异常的时间样本，先观察一段时间再决定要不要采信，防止被网络抖动或者被人为构造的假时间带偏。

所以重启后短暂显示未同步属于正常。给它几分钟，或者手动催一下：

w32tm /resync /rediscover

如果十分钟后还是没同步上，那才是真出问题了，去第九章查。

七、防火墙：怎么把 UDP 123 开对？

NTP 走的是 UDP 123 端口。Windows 防火墙对它的出站（你出去问别人）一般没问题，但入站（别人来问你）默认是拦的。

所以服务端必须显式放行入站：

New-NetFirewallRule -DisplayName "W32Time NTP Server (UDP 123)" -Direction Inbound -Protocol UDP -LocalPort 123 -Action Allow -Profile Domain,Private

或者用 netsh：

netsh advfirewall firewall add rule name="W32Time NTP Server" dir=in action=allow protocol=UDP localport=123 profile=domain,private

四个容易忽略的要点

要点一：Profile 只开 Domain 和 Private，别开 Public。

Public 对应的是"在公共网络上"这个场景——笔记本连机场 Wi-Fi、咖啡店 Wi-Fi 时就是这个配置。在那上面开放 123 端口既没必要也不安全。养成习惯：凡是入站规则，先想清楚要不要覆盖 Public。

要点二：有能力就限定来源网段。

如果内网固定是某个网段，把范围收窄：

New-NetFirewallRule -DisplayName "W32Time NTP Server (UDP 123)" -Direction Inbound -Protocol UDP -LocalPort 123 -RemoteAddress 192.168.1.0/24 -Action Allow -Profile Domain,Private

要点三：别忘了中间的设备。

Windows 防火墙放行了，不代表链路就通了。企业网络里，核心交换机 ACL、防火墙的 UDP 策略，都可能把 NTP 拦在中间。很多防火墙默认只放行 TCP，对"非白名单 UDP"一律丢弃。

排查思路很简单：在服务器上抓包看有没有收到请求。收到了但不回复，是本机问题；压根没收到，就往前找。

要点四：千万别把 123 端口映射到公网。

NTP 协议在历史上有过被用作 DDoS 放大攻击的案例（利用某些实现的 monlist 指令），把时间服务暴露在公网会带来不必要的麻烦和风险。

好消息是：W32Time 并不支持 monlist 这类放大型指令，所以它的放大风险远低于老式 ntpd。但这不构成"可以暴露"的理由——内网服务就让它待在内网。

八、客户端怎么接进来？

8.1 Windows 客户端

单机配置，把地址换成你的服务器 IP：

w32tm /config /manualpeerlist:"192.168.1.10,0x8" /syncfromflags:manual /update
w32tm /resync

配置完成后验证一下：

w32tm /query /source

输出应该是你填的那个 IP。

域环境下不要一台台手工配，用组策略统一下发。路径是：计算机配置 → 管理模板 → 系统 → Windows 时间服务 → 时间提供程序。里面有两个关键项：

• 配置 Windows NTP 客户端：填入服务器地址
• 启用 Windows NTP 客户端：设为已启用
• 同时禁用"保持与域控制器的时间同步"——否则它会覆盖你的手动配置

改完在客户端执行 gpupdate /force 让策略立即生效。

8.2 Linux 客户端（chrony）

这里有个几乎人人会踩的坑，值得重点说。

Windows 的 NTP 实现和标准 NTP 有细微差别，默认情况下 chrony 可能会拒绝它的响应。症状非常好认：chronyc sources -v 里那一行会显示 ^?，系统状态是 Not synchronised。

原因通常是 W32Time 返回的 dispersion（离散度）偏大，超过了 chrony 默认 3 秒的 maxdistance 限制，于是它判定"这个源不可信"。

解决办法是在 /etc/chrony.conf 里放宽限制、并声明信任这个源：

# 指向你的 Windows NTP 服务器
server 192.168.1.10 iburst trust minpoll 4 maxpoll 6

# 放宽最大距离限制：W32Time 常返回大于 3 秒的 dispersion，默认值会被拒
maxdistance 16.0

# 前 3 次同步若偏差超过 1 秒，直接步进校正（避免平滑调整耗时过长）
makestep 1.0 3

driftfile /var/lib/chrony/drift
rtcsync

几个参数的含义：

改完重启服务并复查：

systemctl restart chronyd
chronyc sources -v

当那一行的标记从 ^? 变成 ^*（星号表示"当前选中的同步源"），就说明通了。

8.3 网络设备、监控、门禁、考勤机

这类设备通常只给一个"时间服务器"输入框，把你的服务器 IP 填进去就行。但有两点要注意：

• 只认 IP、不认域名的情况很常见。因为它对时的时候，DNS 可能还没就绪。所以老老实实填 IP。
• 有些老设备只支持 SNTP（NTP 的简化版），一般也能正常对时，不必纠结。

设备特别多的时候，建议给它们划一个独立 VLAN，或者在服务器侧做来源限定，避免某台配置错误的设备把错误的源当成"标准"。

九、验证与排错：一套完整的自查流程

9.1 服务端自检三项

第一项：端口有没有在听

netstat -an | findstr ":123 "

预期看到 UDP 0.0.0.0:123。看不到这一行，后面都不用查了——直接回到第五章第 3 步，检查 NtpServer\Enabled 是不是 1。

第二项：服务状态对不对

w32tm /query /status

重点看三行：

第三项：配置有没有读进去

w32tm /query /configuration

想直接看某个注册表值，用：

w32tm /dumpreg /subkey:Parameters
w32tm /dumpreg /subkey:TimeProviders\NtpServer

9.2 从客户端验证

最直观的办法是用 stripchart，它会连续采样并显示客户端与目标服务器之间的偏移：

w32tm /stripchart /computer:192.168.1.10 /dataonly /samples:5

• /dataonly：只输出数据，不画图，便于复制
• /samples:5：采样 5 次
• 想改采样间隔（默认 2 秒），加 /period:5

如果每次都报错，那就是链路或端口的问题，不是配置问题。

9.3 常见错误与对策

9.4 排错顺序（照着走就行）

1. 服务在跑吗 → Get-Service w32time
2. 端口在听吗 → netstat -an | findstr ":123 "
3. 上游通吗 → w32tm /query /status 看 Source；直接 ping／w32tm /stripchart 打上游
4. 防火墙放行了吗 → 本机规则 + 中间设备策略
5. 客户端能连吗 → 从客户端 w32tm /stripchart 打服务器

按这五步走，九成的"配了不生效"都能定位到具体环节。

9.5 配置乱掉了：恢复出厂重来

折腾久了把配置改乱、又记不清改过什么，可以用这个手法把 W32Time 重置回初始状态，然后照第五章重新配一遍：

net stop w32time
w32tm /unregister
w32tm /register
net start w32time

/unregister 是注销服务并从注册表移除配置，/register 是重新注册并写入默认配置。这一步不会破坏系统，属于官方提供的手段。

十、进阶：让它更稳、更准、更抗折腾

10.1 轮询间隔：两种机制，别混用

前面提过，W32Time 的轮询有两种模式：

模式一：自动浮动轮询（默认）

用 MinPollInterval 与 MaxPollInterval 控制，单位是"2 的幂次方秒"。

服务会在区间内根据精度自动调整。这是推荐给服务器端使用的模式。

模式二：固定间隔轮询

需要在手动对等列表里加 0x1 标志，此时使用 SpecialPollInterval（单位是秒）。适合"我就要每小时对一次，别自作主张"的场景。

微软在高精度配置文档里给的建议，是把两个值都设成 6（64 秒），如图：

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Config" -Name "MinPollInterval" -Value 6 -Type DWord
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Config" -Name "MaxPollInterval" -Value 6 -Type DWord
w32tm /config /update

别两种混着用——一处配置走了固定间隔、另一处又指望自动浮动，结果就是行为难以预测，这也是很多人"配了好像没什么反应"的原因之一。

10.2 相位修正上限：一次最多修多少

MaxPosPhaseCorrection 与 MaxNegPhaseCorrection 决定单次最多允许修正多大的时间偏差。超过这个上限，它不修，只在事件日志里记一笔——这是为了防止"时间突然被拨到很远的地方"造成数据错乱。

如果你的机器时间偏得太多（比如 BIOS 电池没电，开机后停在几年前），导致怎么都对不上，就是这个限制在起作用。可以先手动把时间调到一个大致正确的值，再让它同步。

等保、审计类场景常把它收紧到 3600（±1 小时）：

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Config" -Name "MaxPosPhaseCorrection" -Value 3600 -Type DWord
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Config" -Name "MaxNegPhaseCorrection" -Value 3600 -Type DWord
w32tm /config /update

10.3 Secure Time Seeding 要不要关

这是一个容易忽视但确实会捣乱的机制。

从 Windows 10 版本 1511 起，系统默认启用了一个叫 Secure Time Seeding（STS，安全时间播种） 的功能，对应的注册表值叫 UtilizeSslTimeData。

它的原理有点意思：根据这台机器上 SSL／TLS 连接携带的时间元数据，来"猜"一个大致正确的当前时间，用来修正那些离谱的时钟错误（比如主板电池坏了，时间跑到了 2010 年，导致所有网站都报证书错误）。

设计初衷是好的。但现实中它也制造过不少麻烦——微软自己的文档就承认，收到了多起"系统时间被随机设置为错误值、偏差从几天到几年不等"的客户报告，而受影响机器上普遍启用了这个功能。

最新的变化是：Windows Server 2025 已默认将其关闭（微软在《Windows Server 的安全时间初始化建议》中明确写了这一点），而 Server 2016／2019／2022 以及 Win10／Win11 客户端仍然默认开启。

对做时间服务器的人来说，建议是关掉它——你辛辛苦苦同步好的时间，不该被另一个"猜时间"的机制偷偷拨歪：

reg add "HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config" /v UtilizeSslTimeData /t REG_DWORD /d 0 /f

注意：这一项改完需要重启系统才会生效（它和别的参数不一样，不是 /update 能搞定的）。

10.4 双机冗余与层级设计

对时间敏感的场景，别只有一台。建议两台互为备份，客户端同时指向两个地址：

w32tm /config /manualpeerlist:"192.168.1.10,0x8 192.168.1.11,0x8" /syncfromflags:manual /update

整体层级建议维持在两到三层：

• 第一层：内网时间服务器（Stratum 2 ～ 3），从公网或专线取源
• 第二层：内网各类服务器、网络设备（Stratum 3 ～ 4）
• 第三层：终端、摄像头、门禁、考勤机

不要让几百台设备各自直接冲到公网去对时——出口压力大、可用性还不可控。

10.5 顺手加个监控

时间服务最阴险的地方在于：它坏了你往往发现不了，直到某天出事。

在前一章的验证命令基础上，做一个定时检测就行：每天跑一次 w32tm /query /status，如果 Source 变成 Local CMOS Clock，或者 Last Successful Sync Time 超过一定时长没更新，就发个告警。

这一条小措施，能挡掉后面很多个加班夜。

十一、过时与失效方案过滤清单

网上的 Windows NTP 教程跨越了十几年，其中不少做法现在已经失效或已被官方弃用。照着老教程做，很可能白折腾。这里挑最常见的几条列出来。

另外补两条给"看教程看得多"的人：

• "Windows XP／2003 不支持 NTP 服务端" —— 老皇历了。即便是那些版本也支持，只是精度和可靠性不行，与本文场景无关。
• "必须把 Type 改成 NTP 才能对外授时" —— 该值确实常被一起设置，但它只影响本机取时间的源类型（NTP 表示从手动／外部源取，NT5DS 表示从域层级取），不是决定能不能对外授时的开关。决定开关的还是 NtpServer\Enabled。

十二、快问快答

Q1：一定要用 Windows Server 吗？Win10／Win11 行不行？

行。Win10／Win11 的 w32time 与 Server 版本同源，配置方法完全一致。区别在于桌面系统的节能、休眠、自动更新重启会影响授时连续性。小内网、临时场景完全够用；长期运行的关键业务建议用 Server 版。

Q2：内网完全不能出网，还能搭吗？

能。W32Time 找不到外部源时，会退回到本机 CMOS 时钟（Local CMOS Clock）作为基准，并仍然对外授时。

但要注意它的含义：这只能保证"内网所有设备彼此一致"，不能保证"时间绝对正确"——基准来自本机那颗晶振。要做到绝对正确，得上 GPS／北斗授时设备。对绝大多数内网来说，"内网一致"才是真正需要的，所以这个方案依然成立。

Q3：精度到底能做到多少？

• 办公场景（日志、监控、门禁）：秒级足够，毫无压力。
• 一般企业应用：毫秒到几十毫秒，满足。
• 1 毫秒级：需要 Server 2016／Win10 以上的全链路 + 严格配置，可以做到但要花心思。
• 微秒级：换专用硬件或 Linux chrony。

Q4：配完了，客户端还是同步不上，怎么办？

按第九章 9.4 那五步顺序排查。最常见的三个原因依次是：服务器 NtpServer\Enabled 没开、中间防火墙拦了 UDP 123、客户端把服务器地址写成了域名而 DNS 不通。

Q5：会不会被拿去做 NTP 放大攻击？

W32Time 不支持 monlist 这类放大型指令，风险远低于老式 ntpd。但保险起见，别把 123 端口暴露到公网，只在 Domain／Private 配置下放行。

Q6：时间服务器会不会自己就跑偏了？

会，如果你没配好上游。所以务必用 w32tm /query /status 定期看一眼 Source，它应该是你的上游地址，而不是 Local CMOS Clock。

Q7：改了一堆注册表，怎么回到出厂状态？

用 9.5 那四行 unregister／register 命令重置，然后重新配一遍。比重头一项项找改过什么快得多。

Q8：域环境里配了组策略却没用？

多半是被"保持与域控制器的时间同步"这条策略覆盖了。在组策略里把它禁用，再 gpupdate /force。

十三、一页速查表

核心注册表路径

服务配置根目录
HKLM\SYSTEM\CurrentControlSet\Services\W32Time

对外服务开关（默认 0，必须改成 1）
HKLM\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer\Enabled

宣告标志（默认 10；单机权威源常用 5）
HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config\AnnounceFlags

特殊轮询间隔（仅在源带 0x1 标志时生效）
HKLM\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpClient\SpecialPollInterval

安全时间播种（Server 2025 默认已关，改后需重启系统）
HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config\UtilizeSslTimeData

关键数值速记

最常用的六条命令

REM 1. 配置上游时间源
w32tm /config /manualpeerlist:"ntp.aliyun.com,0x8 ntp1.aliyun.com,0x8" /syncfromflags:manual /reliable:yes /update

REM 2. 让配置立即生效
w32tm /config /update

REM 3. 立即强制同步
w32tm /resync /rediscover

REM 4. 查看当前状态（重点看 Source 与 Stratum）
w32tm /query /status

REM 5. 查看完整配置
w32tm /query /configuration

REM 6. 确认端口在监听（应出现 UDP 0.0.0.0:123）
netstat -an | findstr ":123 "

十四、数据来源与时效声明

14.1 本文所引数据与出处

14.2 三点局限，请一并知悉

第一，系统版本的差异是真实存在的。 Windows 各版本对 W32Time 的实现有过多次调整，本文的水位是 Windows 10／11 与 Server 2016 及以上。如果你的环境里有更老的系统，个别参数的行为可能不同，建议实测为准。

第二，数值类建议是"量级参考"，不是硬性标准。 例如轮询间隔、相位修正上限这些，本文给的是微软官方默认值或在典型场景下的常用值。真正落地时，应当结合你的网络质量、精度需求和合规要求来定。

第三，部分上游时间源的可达性会随时间变化。 文中列举的公共 NTP 地址（阿里、腾讯、NTP Pool）在撰写时可达，但不能保证长期稳定。部署前请先在你的网络里实测一遍——毕竟对时这件事，能不能连上比什么都重要。

14.3 一句话总结

Windows 自带的 w32time 完全能力胜任内网时间源，成本为零；要做的只有三件事——打开 NtpServer\Enabled 这扇门、给本机找一个可靠的上游、然后放行 UDP 123。 剩下的都是锦上添花。

本文时效：2026 年 9 月。文中命令均可在管理员权限的 PowerShell 或 CMD 中直接执行；请务必先在测试环境验证，再应用到生产环境。

延伸阅读

• 用 PowerShell 卸载与重装 Windows 内置应用：命令写法与重装方法
• 企业网络怎么建、设备怎么选？按规模分档的一份实操指南（2026 版）