核心是“域控配好服务端 + 组策略推客户端配置”：GWserver需启用NTP服务、AnnounceFlags=5、放行UDP123；DC上新建GPO启用NTP客户端并指向GWserver；链接OU后gpupdate /force + w32tm /resync /force；客户端验证w32tm /query /source返回GWserver且offset稳定在±50ms内。

用gpo统一让全网终端同步内部ntp服务器，核心是“域控配好服务端 + 组策略推客户端配置”。只要dns正常、防火墙放行udp 123端口，整个过程不需要在每台电脑上手动操作。

确保GWserver已启用并可被访问

这是前提。GWserver必须已配置为Windows NTP服务端，且运行正常：

• 在GWserver上执行 net stop w32time && net start w32time，重启时间服务
• 确认注册表项 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\AnnounceFlags 值为5（表示可信时间源）
• 检查防火墙是否放行UDP 123端口入站规则
• 用命令 w32tm /query /status 查看状态，应显示“源：本机”或“源：local CMOS Clock”，说明服务已就绪

在域控制器上创建并配置GPO

登录DCserver，打开“组策略管理控制台”（GPMC）：

• 右键“组策略对象” → 新建GPO（如命名“全网NTP同步”）
• 右键该GPO → “编辑”，导航至：
  计算机配置 → 策略 → 管理模板 → 系统 → Windows 时间服务 → 时间提供程序
• 启用 “配置Windows NTP客户端”，填入：
  • NTP服务器地址：GWserver的FQDN或IP（例如 gwserver.corp.local）
  • 类型选 NTP
  • 特殊偏移量留空，轮询间隔建议设为 3600（1小时）
• 同时启用同路径下的 “启用Windows NTP客户端” 和 “全局配置设置”（默认参数即可）

链接GPO并强制生效

把GPO链接到目标OU（如“所有工作站”或“Domain Controllers”）：

• 确保目标OU中的计算机对象已正确归属，且没有被更高优先级GPO阻止
• 在DCserver上运行：
  gpupdate /force（刷新策略）
  w32tm /resync /force（立即尝试同步）
• 等待约5–10分钟，或重启客户端机器使策略完全加载

验证终端是否真正同步成功

在任意客户端（非域控）执行以下命令检查：

• w32tm /query /source → 应返回 GWserver.corp.local（不是“域控制器名”或“local CMOS Clock”）
• w32tm /query /status → “层次”值应为 3 或 4（比GWserver的层级高1–2级），且“上次成功同步时间”为近期
• w32tm /stripchart /computer:GWserver.corp.local /dataonly /samples:5 → 观察offset是否稳定在±50ms内
• 若始终失败，先检查DNS解析是否正常，再确认客户端w32time服务是否运行（net start w32time）