Zeitprobleme mit VMware bei eigenen NTP-Servern

In einem Kundenprojekt hatte ich neulich ein seltsames Phänomen. In der Umgebung läuft VMware vSphere 4 zur Virtualisierung einiger Serversysteme. Alle neu eingerichteten virtuellen Maschinen starteten dort mit einer nicht korrekten Systemzeit: Meist waren sie mehrere Stunden in der Zukunft. Ein Zeitzonenproblem war es nicht, denn die Abweichung war “krumm” und nicht auf volle Stunden beschränkt.

Die Besonderheit: In der Umgebung des Kunden läuft ein eigener NTP-Server zur Zeitsynchronisation, die Gesamtumgebung nutzt also nicht die allgemein im Internet verfügbaren Zeitserver. Wie sich herausstellte, war genau das das Problem.

Im Zuge der Fehlersuche hatten wir natürlich auch die NTP-Einstellungen der ESX-Hosts überprüft. Da dort derselbe (interne) Zeitserver eingetragen war, der auf anderen Servern problemlos funktionierte, schöpften wir zunächst keinen Verdacht. Ein Forenbeitrag, den wir m Internet fanden, wies uns dann aber die Lösung: Der interne NTP-Server benutzt die Protokollversion 3. ESX erwartet von sich aus aber die Version 4 und kann mit Version 3 nichts anfangen. Aus diesem Grund scheitert der Zeitabgleich, und ESX gibt eine falsche Zeit an seine VM-Gäste weiter.

Aber die Abhilfe ist (relativ) einfach. Man kann den ESX-Server anweisen, den NTP-Server mit Protokollversion 3 anzusprechen. Hier eine Anleitung:

[VMware Communities: ESX 4 NTP Client Will Not Synchronize …]
http://communities.vmware.com/thread/220478

Der Artikel bezieht sich zwar auf 3Com-Geräte, trifft aber auf alle Umgebungen mit NTP-Servern der Version 3 zu.

Falsche Zeiteinstellungen beim Systemstart einer VM können auch dann gravierende Folgeprobleme haben, wenn die Zeit der VM hinterher korrigiert wird. In unserem Fall schlug die Exchange-Installation mit ganz seltsamen Fehlermeldungen fehl …

Update 3. September 2010: In einer Forendiskussion, in der jemand ein sehr vergleichbares Problem hatte, ist ein Weg beschrieben worden, wie man die Folgeprobleme solch inkorrekter Zeitverteilung für Active Directory beheben kann. Hier der Link:

[AD – Zugriffs Problem zwischen 2 DCs – MCSEboard.de MCSE Forum]
http://www.mcseboard.de/active-directory-forum-79/zugriffs-problem-zwischen-2-dcs-169378.html#post1041927