Если исключительно точное хронометрирование не является критически важным для вас, для ваших пользователей не должно быть заметного эффекта, за исключением изменения их часов на 2 минуты.

Возможное исключение - если они объявят ваш NTP-сервер «ненормальным» в результате большого изменения (которое потребует перезапуска службы NTP в затронутых системах, чтобы заставить их синхронизировать часы - хотя вы можете сделать это без отключение).

Пока вы это исправляете, вот еще несколько указателей:

• Вы должны настроить свои системы, которые смотрят на внешние источники NTP, чтобы смотреть на несколько (4-5) серверов из проект общественного пула NTP - желательно географически подходящие.
  Наличие большего количества серверов NTP позволяет алгоритму выбора игнорировать те, которые ломаются / сходят с ума, и поддерживать точность ваших часов.

• В такой конфигурации, как ваша, я бы указал Core Router 1 и Core Router 2 у внешних источников синхронизации (не друг друга).
  Это дает вам два независимо синхронизируемых тактовых сигнала, которые должны быть в пределах нескольких миллисекунд друг от друга, но если один из ваших маршрутизаторов сойдет с ума, это не повредит другому.

• В такой конфигурации, как ваша, я бы указал контроллеры домена на ОБЕ основные маршрутизаторы (опять же, чтобы защитить себя от одного выхода из строя).
  Если вы хотите защитить себя от того, что часы сходят с ума, вам следует добавить третий авторитетный NTP-сервер (или дважды указать один из ваших маршрутизаторов и надеяться, что это не тот, который теряет рассудок ...)

Настройки домена по умолчанию для Windows позволяют отключать время +/- 300 секунд до того, как аутентификация перестанет работать, так что все будет в порядке. Вот довольно исчерпывающая статья на эту тему, в котором даже упоминается, как изменить допуск на временной сдвиг с помощью GPO на уровне домена. Это в Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Account Policies -> Kerberos Policy -> Maximum tolerance for computer clock synchronization.

Тем не менее, у вас должен быть ваш авторитетный источник времени (которым обычно является контроллер домена, выполняющий роль эмулятора PDC в домене Windows), синхронизируемый с внешним ntp источник, как pool.ntp.org. Больше информации от Technet здесь.

И в ответ на другой ответ, это не требует простоя. Просто перенаправьте свой авторитетный источник времени, и остальные подключенные к домену компьютеры также синхронизируются.

РЕДАКТИРОВАТЬ: поскольку @ voretaq7 упомянул об этом, я должен указать, что у нас есть только одна система, которая видит внешний источник времени, наш эмулятор PDC. Все устройства, включая сетевое оборудование, синхронизируются с ним. Мы считаем, что это лучший вариант, поскольку сетевое оборудование не будет отклонять аутентификацию из-за временного сдвига, но подключенные к домену компьютеры, использующие Kerberos (для нас это все они), будут. Поэтому в этом отношении не особенно важно иметь точное время на нашем сетевом оборудовании, но оно есть в наших системах Windows, вдвойне, потому что мы запускаем наше программное обеспечение для хронометража для почасовых сотрудников также на сервере Windows.

У клиентов Windows на самом деле не возникнет никаких проблем со входом в систему. Описание Maximum tolerance for computer clock synchronization политика в наши дни довольно неточна.

Клиент с сильно ошибочными часами получит ответ от сервера, устанавливающий рассогласование между их часами - затем аутентификация проходит нормально (при этом клиент сам настраивается, чтобы учесть очевидный перекос часов).

Описание верное в одном; политика по-прежнему эффективно устанавливает таймер для атак повторного воспроизведения, но с точки зрения легитимного трафика обмен устойчивым к большим отклонениям часов.

Видеть эта статья MS KB Чтобы получить больше информации.

Вы можете рассмотреть возможность использования других серверов NTP, помимо вашего основного оборудования cisco: серьезный трафик NTP создает высокую нагрузку на ЦП на оборудование cisco, что может привести к проблемам в сети.

Очевидно, вы не можете запланировать небольшой простой, не так ли? Я бы настаивал на простое, чтобы перезапустить службу ntp на всех затронутых серверах. Если это невозможно, вам придется подождать некоторое время.

(Я собирался сделать это комментарием к ответу vortaq7, но я думаю, что он заслуживает повторения сам по себе, поскольку многие люди совершают эту ошибку.)

Вам нужно как минимум 3 (предпочтительно 4-6) источников времени, чтобы алгоритм NTP точно сходился на правильном времени. Если у NTP есть только два основных источника, и они оба отсутствуют в значительном количестве, NTP не имеет возможности узнать, какому из них доверять.

Самым большим подспорьем для меня в понимании этого была диаграмма на странице 9 проекта Sun «Использование NTP для управления и синхронизации системных часов, часть III: Мониторинг и устранение неполадок NTP». Этот документ исчез из виду, когда Oracle купила Sun, но вы все еще можете найти его на машина обратного пути. Если поискать по названию, в Интернете также будет много хитов.