时间不同步是Kerberos认证失败最常见原因，客户端与域控制器偏差超5分钟即拒绝票据请求；需用net time、w32tm等命令检查并强制同步，排查防火墙、虚拟机冲突及PDC时间源配置，长效预防需统一NT5DS策略并定期巡检。
kerberos 认证失败，时间不同步是最常见也最容易被忽略的原因。只要客户端与域控制器（dc）时间偏差超过 5 分钟，票据请求就会被直接拒绝，错误码如 0x80090322、kdc_err_clock_skew 或登录时提示“账户限制”“无法联系域控制器”，基本可锁定为时间问题。
快速确认时间偏差是否存在
在报错的客户端上，以管理员身份运行以下命令：
- net time /domain：查看当前所连域及主域控制器名称（如 DC01.contoso.com）
- w32tm /query /status：重点关注 Source（应为域控 FQDN）和 Skew 字段（单位毫秒；>300000 即超 5 分钟）
- date /t && time /t 与在域控制器上执行相同命令，人工比对日期与具体时间
立即强制同步并验证时间源
若 Skew 明显超标，不要等待自动同步：
- 执行 w32tm /resync /force 强制拉取时间；失败则先确保服务已启动：net start w32time
- 若仍不同步，重置时间源策略：w32tm /config /syncfromflags:domhier /update
- 重启服务生效：net stop w32time && net start w32time
- 再次运行 w32tm /query /status，确认 Source 已变为域控，且 Skew 回落到几百毫秒内
排查同步失败的底层原因
即使命令执行成功，也可能因以下原因导致后续再次漂移或同步中断：
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 防火墙拦截 UDP 123 端口：客户端与域控之间必须允许该端口通信，跨网段或有安全组时需专项放行
- 虚拟机时间同步冲突：Hyper-V/VMware 客户机需关闭“与主机同步时间”功能，否则会覆盖域时间源
- 域控制器自身不准：用 netdom query fsmo 找到 PDC 模拟器，检查其是否已配置可靠外部 NTP（如 time.windows.com），且 w32tm /query /configuration 中 AnnounceFlags ≥ 5
- 注册表或组策略覆盖：检查 HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters 下 Type 是否为 NT5DS，NtpServer 值是否为空或被硬编码为公网地址
长效预防与日常监控建议
避免反复踩坑，关键在源头治理和轻量巡检：
- PDC 模拟器必须指向可信外部 NTP，并设置 /reliable:yes；其他 DC 和客户端统一使用 NT5DS 类型，不直连公网 NTP
- 定期批量检查域内设备时间状态：for /f %i in ('dsquery server -forest') do @w32tm /query /status /computer:%i 2>nul | findstr "Source Skew"
- 可在登录脚本中加入简单校验逻辑：偏差超 120 秒则自动触发 w32tm /resync，无需人工干预
