域控时间不同步超5分钟会强制中止DFSR SYSVOL同步。需用w32tm命令检查偏移量、配置PDC从可靠NTP源同步、下游DC设为NT5DS并强制同步，再验证DFSR状态及日志事件ID。
域控时间不同步会直接破坏kerberos认证机制，进而导致dfs replication（dfsr）服务拒绝同步sysvol——这不是警告，而是强制中止行为。dfsr在启动和运行时会校验本地与对端域控制器的时间差，若超过5分钟（默认阈值），复制将被静默暂停，且事件日志中往往只显示模糊的“连接失败”或“配置访问异常”，容易误判为网络或ad问题。
确认时间偏差是否已达触发阈值
在每台域控制器上执行以下命令，查看当前时间偏移和同步状态：
- w32tm /query /status /verbose —— 检查“源”是否指向正确的PDC模拟器，以及“偏移量”数值（单位：秒）
- w32tm /stripchart /computer:DC01.contoso.com /dataonly /samples:5 —— 实时比对两台DC之间的时间差
- 若偏移量持续 >300 秒（5分钟），DFSR同步基本已停摆，需立即干预
修复PDC模拟器的时间源并强制下游同步
PDC模拟器是整个域的时间权威，所有其他DC都必须以它为基准。常见错误是PDC本身未配置可靠外部NTP源，或被错误设为NT5DS类型：
- 登录PDC，运行：w32tm /config /syncfromflags:manual /manualpeerlist:"time.windows.com pool.ntp.org" /reliable:yes /update
- 重启时间服务：net stop w32time && net start w32time
- 强制立即同步：w32tm /resync /force（成功后应返回“命令成功完成”）
- 验证结果：w32tm /query /peers 确认外部源状态为“Active”
重置下游DC的时间层级与DFSR状态
非PDC的域控制器必须设为NT5DS类型，并从PDC拉取时间。若此前被手动改过，DFSR可能因长期时间错位进入保护性暂停：
- 在每台非PDC域控上运行：w32tm /config /syncfromflags:domhier /update
- 重启时间服务并强制同步：net stop w32time && net start w32time && w32tm /resync /force
- 等待2–3分钟，再检查DFSR状态：dfsrdiag ReplicationState /v
- 若仍显示“已暂停”或事件ID 4114，说明DFSR数据库已标记异常，需执行：wmic /namespace:\rootmicrosoftdfs path dfsrVolumeConfig where volumeGuid="对应卷GUID" call ResumeReplication
验证SYSVOL同步恢复并设置监控
时间校准后，DFSR不会自动“追赶”积压内容，需主动触发并观察实际效果：
- 检查是否有待同步文件：dfsrdiag Backlog /RGName:"Domain System Volume" /MemName:本机名（返回为空表示无积压）
- 查看DFS Replication日志（Applications and Services Logs → DFS Replication）中是否出现ID 4604（初始化完成）和4614（同步开始）
- 建议部署简单脚本每日检查：w32tm /query /status | findstr "Source|Offset"，偏移超120秒即告警
