w32tm（Windows 32 Time）是用来配置、查询 Windows 系统 NTP 时间同步的命令行工具。它提供了一些功能，如同步时钟、显示时间配置信息和调整时间源等；w32tm 的功能可以通过 PowerShell 中的 WMI 命令来实现，同时 PowerShell 提供了更多灵活的方式来管理和自动化时间服务的配置与状态查询。

NTPv4 + NTSv4 与 Windows SNTP（W32Time/w32tm）完整解构对比

前置核心定性

NTPv4：RFC5905，完整网络时间协议；NTS（Network Time Security,RFC8915） 是 NTPv4 安全扩展；
Windows W32Time（w32tm）：兼容 NTP 报文格式的增强型 SNTP 客户端（RFC4330），≠完整 NTPv4；原生完全不支持 NTS；
w32tm.exe 只是命令行控制前端，协议能力由 w32time.dll（svchost 托管）决定。

一、底层原理分层拆解

1. 标准完整 NTPv4（chrony /ntpd）

时序算法闭环系统

支持 Marzullo 算法：多上游源采样、异常值剔除、多源加权融合；
内置 PLL/FLL 锁相环，持续学习本地晶振漂移曲线（drift 文件）；
优先 Slew（平滑调速）：缓慢微调时钟频率，尽量避免时间阶跃跳变；
动态自适应轮询间隔，根据网络抖动、时钟漂移自动升降采样周期。

层级拓扑能力

完整 Stratum 层级管理、环路检测；可稳定作为二级授时服务器向下提供时序。
安全扩展 NTSv4（RFC8915）

两段式协议：

① NTS-KE（TCP 4460）：TLS 握手、证书校验服务器身份，协商 AEAD 密钥与 Cookie；

② NTPv4 UDP123 报文 + NTS 扩展字段：每一条时间报文做完整性、防篡改、防重放校验；

抵御中间人劫持、时间欺骗攻击。
报文：标准 NTPv4 扩展字段可承载 NTS 加密信息。

2. Windows W32Time（SNTP 实现，w32tm 配套）

时序算法：开环单次校正（SNTP 本质）

仅支持单主时间源、备用源故障切换，不做多源融合计算；不会同时采信多台服务器时间做统计收敛；
无长期晶振漂移建模；两次同步间隙，本地时钟自由漂移；
校正策略：由注册表MaxAllowedPhaseOffset控制；

时差小于阈值 → 有限平滑；时差超过阈值 → 直接 Step 阶跃跳变；
没有标准 NTP 的多层滑动窗口滤波，网络抖动直接转化为同步误差。

AD 域特殊增强 NT5DS 模式

通过 LDAP 自动发现域时间层级（工作站→DC→PDC 模拟器），属于微软私有机制，不属于标准 NTPv4 协议。
安全能力边界（重点）

✅ 支持：老旧 NTP 对称密钥认证、域内 Kerberos 辅助校验；

❌ 原生不支持 NTS（NTS-KE + NTP 加密扩展）；无法直接对接 NTS 授时服务器；

❌ 无报文完整性校验，公网 UDP123 明文裸奔，极易遭受时间劫持。
报文行为

收发 UDP123 NTP/SNTP 标准报文（版本号 VN3/VN4 兼容），只是不实现 NTPv4 全套内部算法。

二、依赖文件对比

NTPv4+NTS（Linux chrony 示例）

主程序：chronyd 后台守护进程、chronyc 控制工具
依赖：libssl.so（TLS/AEAD，支撑 NTS）、socket 库、内核时钟调整接口
持久化：drift 文件、配置文件chrony.conf

Windows W32Time / w32tm

主程序

C:\Windows\System32\w32tm.exe（命令行控制工具，不发包、不做同步运算）
同步执行主体

w32time.dll，托管进程：svchost.exe -k LocalService
依赖 DLL

ws2_32.dll：UDP123 报文收发；
advapi32.dll：注册表读写、服务控制；
rpcrt4.dll：w32tm ↔ w32time 本地 LRPC 通信；
crypt32.dll：仅基础加密（不包含 NTS 所需 TLS-KE 逻辑）；
netapi32.dll / secur32.dll：域 NT5DS 模式 LDAP 查询。

配置持久载体

plaintext

HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters
HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config

关键：Windows 不存在任何系统原生组件实现 NTS-KE 流程。

三、依赖关系对比

NTPv4+NTS

端口依赖

NTS-KE：TCP 4460（TLS 密钥协商）
NTP 报文：UDP 123

权限

需要系统时钟调整权限；
网络依赖

同时放行 TCP4460 + UDP123；依赖 DNS 解析授时域名；
可独立搭建层级授时网络，客户端 / 服务器角色完整。

W32Time（SNTP）

端口：仅 UDP 123；无 TCP4460 支持，无法建立 NTS 会话；
权限

w32tm /config / /resync：管理员权限，需要SeSystemtimePrivilege；
/query /stripchart /monitor：普通用户可用；

网络依赖

仅 UDP123；遇到 NTS-only 服务器直接通信失败；
域环境强制依赖 LDAP (TCP389) 用于 NT5DS 域时间源发现；
不支持作为专业 Stratum2 授时服务器，并发与收敛能力弱。

四、逻辑链路完整对比

链路 A：标准 NTPv4 + NTS 客户端同步流程

plaintext

chronyd启动
    ↓
NTS-KE TCP4460连接NTS服务器 → TLS1.3握手、证书验证
    ↓
协商密钥、获取NTS Cookie
    ↓
循环：UDP123发送携带NTS扩展字段的NTPv4请求
服务器返回带AEAD校验的应答
    ↓
校验报文完整性、防重放
    ↓
多轮采样滤波、Marzullo算法筛选最优时序
    ↓
PLL平滑调整系统时钟频率（Slew优先，尽量不跳时）
    ↓
持续更新本地晶振漂移模型

链路 B：Windows W32Time 同步流程（w32tm /resync 触发）

plaintext

w32tm.exe（客户端）
    ↓ LRPC
下发同步指令给 svchost(w32time.dll)
    ↓
ws2_32 构造**明文SNTP/NTP报文** UDP123发往配置源
    ←
接收服务器时间戳应答（无任何加密校验）
    ↓
计算单程偏移；无多源统计滤波
    ↓
判断时差阈值：Slew平滑 or Step直接跳变
    ↓
调用内核API校正系统时间
    ↓
不记录长期漂移参数；下一轮同步重新独立计算

链路 C：w32tm /stripchart/monitor（独立 SNTP 探测）

w32tm.exe 自身创建 UDP 套接字，明文收发 NTP 报文，仅测量偏移；同样不支持 NTS，无法和 NTS 服务器加密通信。

五、核心差异汇总表

对比项	标准 NTPv4 + NTS	Windows W32Time（SNTP/w32tm）
协议规范	RFC5905 NTPv4 + RFC8915 NTS	RFC4330 SNTP（兼容 NTP 报文，非完整 NTPv4）
NTS 支持	原生完整支持	❌ 完全不支持，无法对接 NTS 服务器
多源算法	Marzullo 多源融合、异常值剔除	仅主备故障切换，不做多源加权计算
时钟收敛	PLL/FLL，长期漂移建模，平滑 Slew 为主	无漂移模型，超阈值直接 Step 跳时
报文安全	TLS 密钥协商 + AEAD 报文加密防劫持	UDP123 明文传输，无防篡改机制
所需端口	TCP4460(NTS-KE)+UDP123	仅 UDP123
层级授时	可稳定作为 Stratum 二级时间服务器	仅适合终端客户端，不适合专业授时节点
精度潜力	局域网亚毫秒级；广域网毫秒级	局域网数十～百毫秒；广域网百毫秒～秒级
适用场景	金融、工控、高精度时序、公网安全授时	Windows 终端、AD 域环境，满足 Kerberos 5 分钟容错要求

六、配套链

1. NTPv4+NTS 配套工具（Linux）

bash

chronyc sources
chronyc tracking
chronyc -N authdata #查看NTS协商状态
chronyc makestep    #强制同步

2. Windows W32Time 配套工具链（w32tm 系列）

cmd

# 查询运行状态
w32tm /query /status
# 查看当前时间源
w32tm /query /source
# 连通性测试（明文SNTP）
w32tm /stripchart /domain:223.5.5.5
# 修改配置
w32tm /config /manualpeerlist:"223.5.5.5,0x9" /syncfromflags:manual /update
# 强制同步
w32tm /resync
sc query w32time

七、运维关键风险与落地结论

如果授时服务器启用 NTS-only：原生 Windows W32Time无法直接同步；解决方案：内网部署一台支持 NTS 的 chrony 作为中继，Windows 同步这台中继（明文 SNTP）。
AD 域环境不要强行配置公网 NTP/NTS 源，破坏域 NT5DS 时间层级，极易引发 Kerberos 认证故障。
高精度、等保要求防时间劫持场景：Windows 不能依赖原生 w32time，需要部署第三方 NTP 客户端（支持 NTS）。
抓包区分特征：

NTS 流量：存在 TCP4460 TLS 握手包；后续 UDP123 报文携带 NTS 扩展头；
W32Time 流量：只有 UDP123 明文 NTP/SNTP 报文，无 TCP4460 交互。

w32time.dll（Windows Time 服务）演进里程碑完整梳理

前置基线：

Windows NT4 使用独立 TimeServ，w32time.dll 自 Windows 2000 诞生；w32time.dll 承载于 svchost，是 Windows Time 服务业务核心，w32tm.exe 只是前端控制工具。

重要定性贯穿所有版本：w32time.dll 始终是 SNTP（RFC4330）实现，并非完整 NTPv4；至今原生不支持 NTS（RFC8915）。

一、Windows 2000（w32time.dll 初代基准版）

里程碑：w32time.dll 正式诞生，替代 NT4 TimeServ

设计目标：只为 AD Kerberos V5 时钟容错（5 分钟时间偏差阈值），非高精度时序；
引入 NT5DS 域同步模式：域成员自动沿域层级溯源（工作站→DC→林 PDC 模拟器）；
协议：兼容 NTPv3 报文，内部逻辑为简化 SNTP；仅支持 UDP123；
限制：
- 同步算法简陋，缺少平滑相位校正，大偏差直接 Step 跳时；
- w32tm 命令行功能极弱，配置高度依赖手工修改注册表；
- 无完善日志，故障排查困难；
默认行为：域成员 = NT5DS；独立主机 = NTP。

二、Windows Server 2003 / Windows XP（第一波能力增强）

扩展时间提供程序模型，预留第三方硬件 PTP/GPS 时间提供程序接口；
w32tm 命令增强，初步支持手动指定 NTP 对等列表；
调整时钟校正参数，改善长时间漂移问题；
关键约束延续：依然不支持多源融合（Marzullo 算法），仅主备切换；
注册表关键参数成型：MaxAllowedPhaseOffset、PhaseCorrectRate、UpdateInterval；

官方文档明确：此版本不适合金融、工控高精度时序场景。

三、Windows Vista / Server 2008、Win7 / Server2008R2

Phase Correction 平滑调相机制优化：小于MaxAllowedPhaseOffset(300s)采用渐进微调，超阈值直接阶跃跳变；
默认策略变更：域控 MaxPosPhaseCorrection/MaxNegPhaseCorrection 默认 48 小时，拒绝极端偏移时间样本；
新增基础调试日志能力（w32tm /debug）；
内核高精度 QPC 计时器深度对接，改善采样时间戳精度；
缺陷：仍然缺少自适应轮询间隔；对等节点故障切换逻辑僵硬；
重要分界：自此版本开始大量企业 AD 域标准部署基线定型。

四、Windows 8 / Server2012、Win8.1 / Server2012R2

优化 DNS 重试、对等节点退避算法（ResolvePeerBackoffMinutes）；
改进虚拟机场景时钟漂移补偿；
w32tm /query 系列命令正式纳入原生支持（此前版本无完整/query /source /status）；

重大运维变化：管理员可以直接 LRPC 读取服务运行时状态，不再只能读注册表；

域成员默认 MaxPosPhaseCorrection/MaxNegPhaseCorrection 改为 0xFFFFFFFF（无限校正，允许超大时间跳变）；
仍然不支持 NTS、不支持多源加权收敛。

五、Windows Server 2016 / Windows10 1607 高精度重构里程碑（最重要版本跃迁）

微软官方《Evolution of Timekeeping in Windows》核心改版

底层时钟控制算法完整重构
- 调用新增内核 API SetSystemTimeAdjustmentPrecise，调整粒度从 6.4μs/s 提升至 100ns/s 级别；
- 全新时钟离散滤波模型，抑制网络抖动造成的频繁跳时；
- 正式支持域环境目标 1ms 同步精度（满足金融监管初步要求）；
日志体系升级：新增 Microsoft-Windows-Time-Service/Operational 可追溯事件日志，记录每次时钟调整、同步源变更；
对等节点动态轮询间隔自适应；
虚拟机增强：Hyper-V 来宾优先使用外部 NTP 源，不再默认依赖主机时钟；
边界不变：依旧无 NTS 支持、依然是 SNTP 子集，无标准 NTP 的 Marzullo 多源筛选；
对外发布官方《高精度时间配置指南》，区分普通业务时序与监管级时序部署方案。

六、Windows Server 2019 / Win10 1809、Windows 11、Server2022/2025

持续修复网络拥塞下 NTP 报文时间戳失真、UDP 报文丢失重试逻辑；
MDM 策略 CSP 增加 W32Time 完整配置支持，适配现代终端管理；
修复大量时区、夏令时切换场景时钟校正异常；
云环境（Azure）优化：内置对 Azure 时间服务适配；
持续重大短板维持至今：

✘ 无任何 NTS（RFC8915）协议栈；不支持 TCP4460 NTS-KE 握手；

✘ 无法对 NTP 报文做 AEAD 防篡改、防重放；公网同步明文 UDP123；

✘ 不实现完整 NTPv4，不支持多源统计收敛；
小版本累积更新持续修复：报文解析边界、日志溢出、LRPC 通信卡死等稳定性 Bug（KB 系列月度补丁迭代）。

二、贯穿全版本的关键不变特征（w32time.dll 基因约束）

协议定位：SNTP 客户端，兼容 NTPv4 报文，≠完整 NTPv4 实现；
选源逻辑：只能单主源工作，备用源仅故障切换，不会同时采信多个时间源做加权滤波；
安全能力：仅支持老旧 NTP 对称密钥认证、域内 Kerberos 辅助校验；无 NTS；
服务端能力：仅简易 SNTP 应答，不适合搭建专业 Stratum 层级授时网络；
校正模型：Slew 平滑 + Step 阶跃双模式，没有长期晶振漂移持久建模（无 drift 持久文件）。

三、关键版本能力横向简表

系统版本	标志性 w32time.dll 演进	核心运维价值
Win2000	初代 w32time.dll、NT5DS 诞生	AD 域时间基础架构起点
Server2003/XP	时间提供程序扩展	支持第三方时序插件
Vista/2008、Win7	平滑相位校正、48h 偏移阈值	企业域大规模部署基线
Win8/2012R2	原生`w32tm /query`命令	标准化诊断工具链成型
Server2016/Win10 1607	高精度时钟算法重构、Operational 日志	满足 1ms 精度合规场景
Win11/Server2022+	云适配、MDM 策略增强	现代终端 / 混合云时序运维

四、延伸结论卡脖子（对接你之前关注的 NTPv4+NTS 对比）

如果需要 NTS 加密授时：原生 w32time.dll 无论 Windows11/Server2025 均无法实现；方案：内网部署 chrony 作为 NTS 中继，Windows 同步中继明文 SNTP；
高于 1ms、微秒级高精度场景：不建议依赖原生 w32time.dll，需第三方专业 NTP 客户端或 PTP；
AD 域标准场景：优先使用 NT5DS 域层级同步，不要随意配置公网 NTP/NTS，破坏域时间拓扑，极易引发 Kerberos 认证失败。

w32tm 英文全称

Windows 32 Time

拆解：

W32 = Windows 32-bit（32 位 Windows 时间服务标识，沿用至今）
TM = Time

完整对应服务：

Windows Time 服务，内部服务名：W32Time

补充：

w32tm.exe 是用来配置、查询 Windows 系统 NTP 时间同步的命令行工具。

w32tm.exe 完整解构

指令：w32tm.exe（Windows Time 时间服务命令行工具）

一、基础概述

w32tm.exe 是 Windows 用来配置、调试、查询 Windows Time 服务（W32Time，服务名：W32Time） 的配套命令行工具；

操作系统时间同步遵循 NTP / SNTP 协议，域环境额外支持 AD 域层次时间同步（域控制器 PDC 模拟器作为林根时间源）。

区分：

w32tm.exe：客户端调试 / 配置工具；

w32time.dll：Windows Time 服务核心实现，由 svchost.exe -k LocalService 承载运行。

1. 底层原理

Windows 时间模型

系统维护本地硬件时钟（RTC CMOS） + 系统软件时钟；W32Time 服务通过 SNTP/NTP 协议从外部时间源获取标准时间，持续校正本地软件时钟。
两种工作模式

工作组模式：直连公网 NTP 服务器（如time.windows.com、223.5.5.5）；
AD 域模式：遵循域层次：工作站→域控→PDC 模拟器→外部 NTP 源（域时间层次拓扑）。

w32tm.exe 工作逻辑

w32tm.exe 本身不常驻同步循环，它是命令行前端：

查询配置：读取注册表 W32Time 参数；
重新配置：写入注册表，通知 W32Time 服务重载配置；
手动同步、测试 NTP 连通：主动发起 SNTP 报文，独立发包，不依赖后台服务运行；
域场景下通过 LDAP 查询定位域内时间服务器。

通信协议

默认使用 UDP 123 端口（NTP）；支持 SNTP（简化 NTP）；可执行 NTP 报文往返时延、偏移量测算。

2. 依赖文件

主程序

%SystemRoot%\System32\w32tm.exe
核心依赖库

w32time.dll：Windows Time 服务核心逻辑（同步算法、NTP 报文编解码）
advapi32.dll：注册表读写、服务控制 API
kernel32.dll：Socket、时间、进程基础调用
ws2_32.dll：Winsock，UDP 123 报文收发
secur32.dll：域环境 LDAP 身份查询、域控定位
netapi32.dll：域信息查询

系统载体进程

svchost.exe (LocalService)：承载 W32Time 后台同步服务
注册表存储路径

HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters

HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config

3. 依赖关系

硬性依赖

网络连通性：访问 NTP 服务器 UDP 123；防火墙放行出站 123；
域环境额外依赖：TCP 389（LDAP），用于自动寻找域时间服务器；
注册表权限：修改时间服务配置需要管理员权限；普通用户仅可查询。

可选依赖

W32Time 后台服务：
- w32tm /query、w32tm /resync 等操作推荐服务处于运行状态；
- w32tm /stripchart 测试 NTP 连通，可以在W32Time 服务停止时独立运行。

不依赖

DNS 非必需（可直接使用 IP 作为 NTP 源）；关闭 Dnscache 依然可以执行；

不受 Dnscache、ipconfig、nslookup 组件约束。

权限边界

查询命令（/query、/stripchart）：普通用户可执行；
/config、/resync、注册注销时间服务：必须管理员权限。

4. 逻辑链路

链路 A：查询当前配置 `w32tm /query /configuration`

plaintext

w32tm.exe
    ↓advapi32.dll
读取注册表 W32Time Config/Parameters 键值
    ↓格式化参数
输出：NTP服务器、同步类型、轮询间隔、校正阈值等信息

链路 B：手动强制同步 `w32tm /resync`

plaintext

w32tm.exe → RPC调用 svchost 内 W32Time 服务
W32Time服务 → 按照配置的NTP源发起UDP123查询
获取标准时间 → 校正系统软件时钟 → 返回同步结果给w32tm.exe
控制台输出成功/失败

链路 C：连通性测试 `w32tm /stripchart /domain:time.windows.com`

plaintext

w32tm.exe 独立调用ws2_32
直接构造SNTP UDP报文 → 发往目标123端口
接收NTP应答 → 计算时间偏移、往返延迟
持续打印时间差值（**不依赖后台W32Time服务**）

链路 D：域环境自动发现时间源

plaintext

w32tm.exe → LDAP查询域控 → 定位PDC模拟器
提取PDC NTP地址 → 使用该服务器作为时间源

5. 配套链（常用命令、配套工具、服务管理）

① w32tm 高频命令

cmd

:: 查看时间同步配置
w32tm /query /configuration
:: 查看当前时间源
w32tm /query /source
:: 查看同步状态
w32tm /query /status
:: 测试NTP服务器连通与时延
w32tm /stripchart /dataonly /domain:223.5.5.5
:: 重新配置NTP源（管理员）
w32tm /config /manualpeerlist:"223.5.5.5,0x9" /syncfromflags:manual /reliable:yes /update
:: 通知服务重载配置
net stop w32time && net start w32time
:: 强制立即同步
w32tm /resync

② 配套服务管理

cmd

sc query w32time
net start w32time
net stop w32time

③ 等效 / 互补工具

time /t：仅读取本地系统时间，不参与 NTP 同步；
PowerShell

powershell

Get-WmiObject Win32_Win32Time
Get-Service w32time

跨平台对比工具：ntpq、chronyc（Linux NTP 调试工具）

④ 观测日志

事件查看器 → Windows 日志 → 系统；来源：W32Time

6. 运维关键风险点补充

UDP 123 被防火墙拦截是最常见同步失败原因；
AD 域内禁止随意修改域控 PDC 以外服务器的外部 NTP 源，破坏域时间层级；
系统时间偏差过大（默认＞15 小时）W32Time 拒绝自动校正，需手动执行 /resync；
特权关联：修改系统时间依赖 SeSystemtimePrivilege；若无此特权，同步会报错。

w32tm /stripchart 与 w32tm /monitor 完整拆解对比

核心总纲：

二者均由 w32tm.exe 独立完成 SNTP 报文收发，不依赖 w32time.dll、不与 W32Time 后台服务交互；仅做时间偏移测量，永远不会修改本机系统时钟；仅支持明文 UDP 123 SNTP/NTP，不支持 NTS。

一、w32tm /stripchart

1. 底层原理

协议：SNTP（兼容 NTPv3/NTPv4 报文），UDP 123；
工作模式：单点持续循环采样；
时间计算公式（标准 SNTP 四时间戳模型）

T1：本机发送请求本地时间
T2：服务器收到请求时间
T3：服务器发送应答时间
T4：本机收到应答本地时间

往返延迟 = (T4 − T1) − (T3 − T2)

时钟偏移 = [(T2 − T1) + (T3 − T4)] ÷ 2

运行特征

持续循环发包，默认间隔 2 秒，可通过 /period:N 修改；
实时打印每一轮采样的偏移、延迟；
Ctrl+C 终止；
不校验服务器合法性、无多源算法，只单纯测量单点时差。

2. 依赖文件

主程序：%SystemRoot%\System32\w32tm.exe
ws2_32.dll：创建 UDP 套接字、收发 123 端口报文
dnsapi.dll：域名解析（填写 IP 可跳过）
kernel32.dll：高精度时间获取、控制台输出、线程休眠

❗ 不加载 w32time.dll、不使用 LRPC、不读写 W32Time 注册表。

3. 依赖关系

硬性依赖

出站 UDP 123 可达目标 NTP 服务器；
域名场景依赖 DNS 解析；
权限：普通用户即可执行，不需要管理员权限。

不依赖

W32Time 服务运行状态（启动 / 停止均可正常执行）；
SeSystemtimePrivilege 时钟修改特权；
Windows Time 注册表配置；
NTS 协议（TCP4460）。

4. 逻辑链路

plaintext

w32tm.exe /stripchart /domain:ntp.aliyun.com
        ↓
加载ws2_32，创建UDP套接字
        ↓
域名解析 → 得到目标IP
        ↓
循环：
    记录T1 → 发送SNTP请求(UDP123)
    阻塞等待应答
    收到报文记录T4，解析报文中T2、T3
    计算偏移、往返延迟
    控制台打印结果
    休眠指定周期
        ↓
Ctrl+C退出循环

5. 配套链

cmd

# 基础持续采样，精简输出
w32tm /stripchart /domain:223.5.5.5 /dataonly
# 指定5秒采样间隔
w32tm /stripchart /domain:ntp.aliyun.com /period:5
# 输出日志文件
w32tm /stripchart /domain:223.5.5.5 /dataonly > ntp_sampling.log

# 联动诊断
w32tm /query /source
w32tm /query /status

二、w32tm /monitor

1. 底层原理

协议：同 /stripchart，明文 SNTP UDP123；
工作模式：多节点一次性快照巡检（非持续采样）；
两种执行模式：

模式 1：不带参数 → 通过 DNS SRV + LDAP 自动枚举域内所有域控制器，逐个探测；仅域内主机可用；
模式 2：/computers:host1,host2 → 手动指定一批服务器，跳过 LDAP 域发现，工作组 / 域环境通用；

同样使用四时间戳计算偏移与延迟；
行为特征：执行一轮即退出，不会持续采样；汇总所有节点结果表格输出。

2. 依赖文件

主程序：w32tm.exe
ws2_32.dll：UDP123 报文收发
dnsapi.dll：域名解析、查询 LDAP SRV 记录
netapi32.dll、secur32.dll：仅无参数自动枚举 DC 时需要 LDAP 通信
kernel32.dll：控制台、时间戳处理

❗ 同样独立运行，不调用 w32time.dll。

3. 依赖关系

硬性依赖

UDP123 出站可达被测服务器；
无参数自动枚举 DC：需要 TCP 389 LDAP 连通域控、DNS 正常；
权限：普通用户可执行。

不依赖

W32Time 服务；
时钟修改特权；
NTS。

4. 逻辑链路

plaintext

场景A：w32tm /monitor（自动枚举域控）
        ↓
dnsapi 查询DNS SRV记录定位LDAP服务器
        ↓
netapi32/secur32 LDAP连接域控，读取全部DC列表
        ↓
遍历DC名称，解析IP
        ↓
ws2_32 逐个发送SNTP查询、采集时间戳、计算偏移
        ↓
汇总所有节点数据，表格打印，程序退出

场景B：w32tm /monitor /computers:"223.5.5.5,ntp.aliyun.com"
        ↓
解析参数内主机名
        ↓
逐个发起SNTP探测
        ↓
输出多节点时差快照

5. 配套链

cmd

# AD域巡检所有域控时钟一致性
w32tm /monitor
# 自定义多NTP节点巡检
w32tm /monitor /computers:"223.5.5.5,ntp.aliyun.com"
# 结果保存日志
w32tm /monitor > dc_time_check.log

三、核心区别对照表

项目	w32tm /stripchart	w32tm /monitor
采样方式	单点、持续循环采样	多节点、一次性快照
目标数量	单个时间服务器	一台或多台服务器
域发现能力	无，必须手动指定 /domain	支持自动枚举域所有 DC（无参数）
生命周期	持续运行，Ctrl+C 停止	一轮探测完成立即退出
典型用途	长时间观测单台 NTP 时延抖动、稳定性	批量巡检多台 DC/NTP 节点时差一致性
报文来源进程	w32tm.exe	w32tm.exe

四、关键运维区分要点

抓包识别：两条命令产生的 UDP123 报文源进程都是 w32tm.exe；

w32tm /resync 的 NTP 报文源进程是 svchost.exe(w32time.dll)；
二者仅用于诊断测试；不能替代 W32Time 后台持续同步；
仅支持明文 SNTP，面对 NTS-only 授时服务器直接通信失败；
AD 域运维最佳实践：
- /monitor 快速检查所有域控时钟是否发散；
- /stripchart 针对 PDC 模拟器做长时间连通性与时延观测。

PixPin_2026-07-01_18-17-46

PixPin_2026-07-01_18-18-04

PixPin_2026-07-01_18-18-25

PixPin_2026-07-01_18-18-40

PixPin_2026-07-01_18-18-59

PixPin_2026-07-01_18-19-12

PixPin_2026-07-01_18-19-26

w32tm /query 完整解构

指令：w32tm.exe /query（Windows Time 服务查询子命令）

支持子参数：/configuration /source /status /peers

1. 底层原理

w32tm /query 是只读查询接口，不触发时间同步、不修改注册表、不调整系统时钟。

存在两种查询模式：

RPC 服务查询（主流）

w32tm.exe 通过 LRPC（本地 RPC） 与运行在 svchost.exe -k LocalService 内的 w32time.dll（W32Time 服务）通信；由后台时间服务返回实时运行时状态、内存中的活动配置、对等 NTP 节点信息。

⚠️ 重点：服务运行时，优先读取服务内存运行时参数，而非直接读取注册表；注册表是持久化存储，服务启动后加载到内存，在线修改注册表不会即时生效。

服务停止降级模式

当 W32Time 服务未启动时，/query /configuration 降级直接读取注册表：

HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config

HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters

但 /status /source /peers 在服务停止时无法获取运行状态，直接报错（没有运行时同步状态）。

数据模型：

W32Time 服务内部维护一套运行时结构体：对等节点列表、上一次同步时间、时间偏移量、轮询周期、时钟校正参数；RPC 接口向外暴露这套结构体。

2. 依赖文件

主程序

C:\Windows\System32\w32tm.exe
用户态依赖 DLL

advapi32.dll：注册表访问、服务状态枚举
rpcrt4.dll：本地 LRPC 通信核心（和 w32time 服务交互必备）
kernel32.dll：进程、句柄、基础 IO
ws2_32.dll（仅辅助，单纯 /query 不发起网络）
netapi32.dll（域环境下解析域时间源名称）

服务端组件

w32time.dll 承载于 svchost.exe (LocalService)
持久化配置载体（降级读取）

注册表路径：

plaintext

HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config
HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters

3. 依赖关系

硬性依赖

若需要查询 运行状态（/status/source /peers）：

✅ W32Time 服务必须处于 Running 状态；服务停止 → 查询失败。
/query /configuration：

服务运行 → 使用 RPC 读取服务内存配置；

服务停止 → 降级读取本地注册表，仍可返回结果。
权限要求：

普通用户权限即可执行所有 w32tm /query 系列，不需要管理员权限（只读操作）。

可选依赖

DNS、网络、UDP123：单纯 /query 不需要网络；只读取本机内存 / 注册表，不会向外发包；

网络仅影响后续 /resync /stripchart，和查询命令无关。

不依赖

Dnscache 服务、NTP 服务器连通性、系统时间修改特权SeSystemtimePrivilege。

4. 逻辑链路

链路 1：w32tm /query/configuration（完整配置）

plaintext

w32tm.exe
    ↓ rpcrt4.dll
发起LRPC连接到 svchost 内部 w32time.dll RPC端点
RPC请求：读取服务运行时配置块
    ← 返回内存中生效参数（NTP源、同步标志、校正阈值、轮询间隔等）
w32tm.exe格式化文本输出

【降级分支：W32Time服务未启动】
w32tm.exe → advapi32.dll → 直接读取W32Time注册表项 → 输出注册表内持久配置

链路 2：w32tm /query/status（同步状态）

plaintext

w32tm.exe → LRPC连接w32time服务
RPC查询：上一次同步时间、时间偏移、轮询间隔、对等节点状态、时钟相位
服务返回运行时状态结构体
w32tm解析并打印：源、轮询、偏移、上次成功同步时间

⚠️ 服务停止：RPC连接失败，直接返回错误信息，无法降级读取注册表

链路 3：w32tm /query/source（当前生效 NTP 源）

plaintext

w32tm.exe → LRPC调用w32time
服务返回当前正在使用的对等时间服务器地址
输出当前活动时间源

链路 4：w32tm /query/peers（所有对等 NTP 节点清单）

plaintext

w32tm.exe → RPC请求对等节点列表
w32time返回全部配置peer、节点可达状态、上一次交互情况
打印对等清单

关键区分：

注册表只存静态配置；/query 从服务拿到的是动态运行时状态（比如节点是否可达、最近一次同步偏移），注册表不存在这些动态信息。

5. 配套链

完整语法集

cmd

:: 查看运行时完整配置
w32tm /query /configuration
:: 当前生效时间源
w32tm /query /source
:: 详细同步状态（偏移、上次同步时间）
w32tm /query /status
:: 所有NTP对等节点列表
w32tm /query /peers

配套联动命令

cmd

:: 测试NTP连通性（独立发包，不依赖服务）
w32tm /stripchart /domain:223.5.5.5
:: 修改配置（需要管理员，写入注册表，必须重启服务生效）
w32tm /config /update
:: 重启时间服务加载新配置
net stop w32time && net start w32time
:: 强制触发同步
w32tm /resync

PowerShell 等效查询

powershell

# 获取时间服务配置
Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters
# 查看服务状态
Get-Service w32time

观测日志

事件查看器 → Windows 日志 \ 系统，来源 W32Time；可结合查询结果定位同步异常。

补充运维要点

使用 w32tm /query /configuration 看到的 ≠ 注册表内容：服务启动后会合并默认策略、域 GPO、注册表参数生成运行时参数；
修改注册表后直接执行 /query 看不到变化，必须重启 w32time 服务；
排障标准顺序：/source → /status → /peers → /configuration，快速定位时间源配置、同步失败原因。

w32tm /query/status 完整解构

指令：w32tm.exe /query /status

作用：查询 Windows Time（W32Time）服务运行时动态同步状态，输出上次同步时间、本地时钟偏移、轮询间隔、时间源、同步状态标志。

1. 底层原理

数据来源：仅取自 W32Time 服务内存运行时结构体，不读取注册表。

注册表仅存储静态配置（NTP 服务器、策略开关）；

而「上次同步时刻、时钟偏移、往返时延、当前轮询间隔」属于运行时动态数据，进程重启即丢失，不存在持久化存储。
通信机制

w32tm.exe 通过 本地 LRPC（Local RPC） 连接 svchost.exe(-k LocalService) 内承载的 w32time.dll，调用 RPC 接口读取服务内部时钟同步状态块。
关键逻辑约束

W32Time 服务未启动：RPC 通道建立失败，命令直接报错，不存在注册表降级读取方案；
命令本身不发起 NTP 网络请求，仅查询已有同步结果；不会触发一次新的时间同步；
输出字段释义底层：
- 源：当前正在使用的对等 NTP 节点；
- 轮询间隔：服务动态调整的下一次同步周期（NTP 算法自动升降）；
- 偏移：本地时钟与标准时间差值；
- 延迟：本机与 NTP 服务器往返网络时延；
- 上次成功同步时间：记录最近一次正常完成 NTP 交换的时间戳。

2. 依赖文件

主程序

%SystemRoot%\System32\w32tm.exe
用户态依赖 DLL

rpcrt4.dll：LRPC 通信核心，建立客户端与 w32time 服务 RPC 会话
advapi32.dll：枚举服务运行状态、打开服务控制管理器
kernel32.dll：句柄管理、基础字符串与 IO 输出
user32.dll（可选）：控制台格式化输出

服务端组件

w32time.dll 托管进程：svchost.exe -k LocalService
无直接依赖网络组件：单纯查询不调用 ws2_32 发起 UDP123 报文

3. 依赖关系

硬性依赖

W32Time 服务状态必须为 Running

服务停止 → RPC 连接失败，命令返回错误，无法获取状态；
权限：普通用户权限即可执行，不需要管理员权限（纯只读查询操作）。

可选依赖

无网络、无 DNS、不需要 UDP 123 连通 NTP 服务器；

哪怕 NTP 服务器防火墙拦截、网络不通，只要服务正常运行，依然能输出上一次成功同步的历史状态。

不依赖

注册表读取（区别于 /query /configuration）；
SeSystemtimePrivilege 修改系统时间特权；
Dnscache、DNS 解析服务。

4. 逻辑链路

plaintext

执行 w32tm /query /status
        ↓
w32tm.exe 加载 rpcrt4.dll
        ↓
发起LRPC连接，定位w32time服务注册的RPC端点
        ↓
RPC请求：读取服务内部时钟同步运行时状态结构体
        ←
svchost内w32time.dll 返回动态数据：时间源、偏移、延迟、上次同步时间、轮询周期
        ↓
w32tm.exe 解析二进制状态结构，格式化文本打印到控制台

【异常分支：W32Time服务未启动】
w32tm尝试建立RPC会话 → 连接失败 → 直接输出报错信息，流程终止

重要区分：

w32tm /resync 会促使服务向外发包同步时间；

w32tm /query /status 只读存量结果，不会触发任何网络交互。

5. 配套链

同系列关联查询命令

cmd

:: 当前生效NTP时间源
w32tm /query /source
:: 全部NTP对等节点清单
w32tm /query /peers
:: 完整静态+运行时配置参数
w32tm /query /configuration

联动调试命令

cmd

:: 测试NTP服务器连通与时延（主动发包，独立于w32time服务）
w32tm /stripchart /domain:223.5.5.5 /dataonly
:: 强制触发一次时间同步
w32tm /resync
:: 管理时间服务启停
net stop w32time && net start w32time
sc query w32time

PowerShell 替代查询方式

powershell

# 调用WMI读取时间服务信息
Get-WmiObject Win32_TimeService
# 查看服务运行状态
Get-Service w32time

日志观测位置

事件查看器 → Windows 日志 \ 系统，来源：W32Time

结合 /status 的上次同步时间，匹配事件日志定位同步中断时段。

运维关键要点

输出里「上次成功同步时间」久远，代表长期同步失败；
轮询间隔是动态自适应值，由 NTP 算法根据时钟漂移自动调整，注册表看不到该动态数值；
重装 / 重启 w32time 服务后，历史运行时状态全部清空，/status 需要等待下一次同步完成才会填充有效数据；
AD 域环境下，可通过该命令快速确认主机是否正常追踪域 PDC 模拟器时间源。

w32tm /query/source 完整解构

指令：w32tm.exe /query /source

作用：查询 W32Time 服务当前正在跟踪的活动 NTP 对等源，输出本机此刻同步所使用的时间服务器地址。

1. 底层原理

数据来源：仅读取 W32Time 服务内存运行时状态，不读取注册表

注册表仅保存静态配置对等列表（ManualPeerList、域发现规则）；

「当前正在选用哪一台 peer」是服务运行时动态决策结果：根据可达性、时延、偏移自动择优选择，该信息不保存在注册表。
通信方式

w32tm.exe 通过 本地 LRPC（Local RPC） 连接托管在 svchost.exe -k LocalService 中的 w32time.dll，调用 RPC 接口读取服务内部对等节点选择状态。
核心约束

该命令不会发起 NTP 网络探测，仅读取服务已经完成决策后的结果；
W32Time 服务停止 → RPC 通道无法建立，命令直接报错，无注册表降级读取逻辑；
AD 域环境：服务依据域层次算法自动选择域控 / PDC 模拟器；工作组环境选用配置的外部 NTP 节点；
若尚未完成首次同步，可能显示 Local CMOS Clock（本地硬件时钟）。

2. 依赖文件

主程序

%SystemRoot%\System32\w32tm.exe
用户态依赖 DLL

rpcrt4.dll：LRPC 通信核心，建立客户端与 w32time 服务 RPC 会话
advapi32.dll：服务控制管理器查询、权限校验
kernel32.dll：句柄操作、控制台 I/O、字符串处理

服务端载体

w32time.dll，承载进程：svchost.exe -k LocalService
可选辅助库（域环境）

netapi32.dll、secur32.dll：用于域控定位、LDAP 查询（仅服务启动阶段使用，单纯 /query/source 查询不触发）

注意：执行该命令不加载 ws2_32 发起 UDP 123 数据包，无网络发包行为。

3. 依赖关系

硬性依赖

W32Time 服务必须处于 Running 状态

服务停止 → RPC 连接失败，命令报错，无法输出源地址；
权限：普通用户权限即可执行，无需管理员权限（纯只读查询）。

可选依赖

网络、DNS、UDP 123 连通性均不影响本命令执行。

哪怕 NTP 服务器断连、防火墙拦截 UDP123，只要服务正常运行，依然能显示上一次选中的时间源。

不依赖

注册表直接读取（区别于 /query /configuration）；
SeSystemtimePrivilege 修改系统时间特权；
Dnscache DNS 缓存服务。

4. 逻辑链路

plaintext

执行 w32tm /query /source
        ↓
w32tm.exe 加载 rpcrt4.dll
        ↓
建立LRPC会话，定位w32time服务注册的RPC端点
        ↓
发起RPC请求：查询服务当前选中的活动NTP对等源
        ←
svchost内w32time.dll 返回运行时选定的时间源字符串
        ↓
w32tm.exe 将文本输出至控制台

【异常分支：W32Time服务未启动】
LRPC连接失败 → 直接输出错误信息，流程终止

区分关键：

/query /source = 当前正在使用哪一台服务器；

/query /peers = 全部配置的候选服务器列表；

二者不能等同，候选列表多个节点时服务只会择优跟踪其中一个。

5. 配套链

同系列查询子命令

cmd

:: 当前跟踪的时间源
w32tm /query /source
:: 完整同步运行状态（偏移、延迟、上次同步时间）
w32tm /query /status
:: 所有候选NTP对等节点清单
w32tm /query /peers
:: 静态+运行时完整配置参数
w32tm /query /configuration

联动调试命令

cmd

:: 测试指定NTP服务器连通与时延（主动UDP123发包）
w32tm /stripchart /domain:223.5.5.5 /dataonly
:: 强制触发一次时间同步
w32tm /resync
:: 重启时间服务，重新加载配置、重新选源
net stop w32time && net start w32time
sc query w32time

PowerShell 互补方式

powershell

# 查看时间服务状态
Get-Service w32time
# 读取注册表静态NTP配置（仅静态列表，不等于当前生效源）
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters"

日志位置

事件查看器 → Windows 日志 \ 系统，来源：W32Time

结合 /source 输出，判断主机是否正常追踪预期时间源（AD 域重点核查是否指向 PDC 模拟器）。

运维重点提示

输出 Local CMOS Clock：代表尚未成功从外部 NTP 源同步，系统依靠主板硬件时钟运行；
修改 ManualPeerList 注册表后，必须重启 w32time 服务，/query /source 才会刷新选中源；
AD 域主机正常情况下源应当指向域控，若出现公网 NTP 地址，说明时间同步模式配置异常，破坏域时间层级。

w32tm /stripchart 完整解构

指令：w32tm.exe /stripchart

作用：独立向目标 NTP/SNTP 服务器周期性发送查询报文，测算本机与时间服务器的时间偏移、网络往返延迟，输出连续采样曲线数据；

核心特征：不依赖 W32Time 后台服务运行，属于客户端独立 NTP 测试工具，不会修改本机系统时钟。

1. 底层原理

协议基础

遵循 SNTP / NTPv4，使用 UDP 123 端口；w32tm.exe 自身完成 NTP 报文封装、收发、时间运算，不需要 w32time.dll 参与同步逻辑。
运算逻辑

每次采样流程：

① 客户端发送 SNTP 请求，记录本机发送时间戳 T1；

② NTP 服务器收到报文，填充接收时间戳 T2；

③ NTP 服务器回复报文，填充回复发送时间戳 T3；

④ 本机收到应答记录接收时间戳 T4；

⑤ 计算公式：

往返延迟 = (T4 − T1) − (T3 − T2)

本机时钟偏移 = [(T2 − T1) + (T3 − T4)] / 2
运行模式

循环持续发包采样，控制台持续打印：时间戳、偏移量、延迟；

仅做测量，不会调用系统 API 校正本机系统时间。
关键特性

与系统 W32Time 服务完全解耦；服务停止照样正常执行；
不读取注册表 W32Time 配置，目标服务器由命令行参数/domain:手动指定；
仅用于连通性与时延诊断，不作为正式时间同步手段。

2. 依赖文件

主程序

%SystemRoot%\System32\w32tm.exe
核心依赖 DLL

ws2_32.dll：Winsock UDP 套接字，收发 UDP 123 报文
rpcrt4.dll（可选，仅域名解析辅助链路，非必需）
kernel32.dll：套接字创建、高精度时间获取、控制台输出、循环延时
dnsapi.dll：域名解析（目标填写域名时加载；直接使用 IP 可跳过）

不依赖组件

w32time.dll、svchost 承载的 W32Time 服务、注册表 W32Time 参数。

3. 依赖关系

硬性依赖

网络访问权限：本机出站 UDP 123可达目标 NTP 服务器；防火墙、安全策略放行；
域名场景：DNS 正常解析 NTP 域名；使用 IP 地址可规避 DNS 故障；
权限：普通用户权限即可执行，无需管理员权限；
系统高精度时钟可用（Windows 默认满足）。

可选依赖

Dnscache 服务：域名解析可依托系统 DNS 缓存；关闭 dnscache 依然可直接发起 DNS 查询。

完全不依赖

W32Time 服务运行状态（启动 / 停止不影响）；
SeSystemtimePrivilege 修改系统时间特权；
Windows Time 注册表配置；
LRPC 通信通道。

4. 逻辑链路

标准完整链路

plaintext

w32tm.exe /stripchart /domain:ntp.aliyun.com
        ↓
加载 ws2_32.dll，创建UDP套接字
        ↓
若参数为域名 → 调用dnsapi.dll完成域名解析得到IP
        ↓
循环：
    构造标准SNTP请求报文
    记录本地时间戳T1 → UDP 123发送报文
    阻塞等待NTP应答
    收到应答记录T4，解析报文中T2、T3
    计算往返延迟、时钟偏移
    格式化数据输出至控制台
    休眠指定间隔（默认2秒，可由/dataonly、/period调整）
        ↓
按Ctrl+C终止循环

故障分支

UDP 123 被拦截：请求超时，打印超时提示；
域名解析失败：直接报错，无法进入采样循环；
目标非 NTP 服务器：收到非法报文，判定应答无效。

核心区分

w32tm /resync：依靠后台 W32Time 服务完成同步，会修改系统时钟；

w32tm /stripchart：独立客户端测试，仅测量、不校时、不与 w32time 服务交互。

5. 配套链

常用标准语法示例

cmd

# 持续采样，精简输出
w32tm /stripchart /domain:223.5.5.5 /dataonly
# 指定采样周期5秒，输出详细信息
w32tm /stripchart /domain:time.windows.com /period:5
# 写入文本日志便于后期分析
w32tm /stripchart /domain:ntp.aliyun.com /dataonly > ntp_log.txt

配套联动 w32tm 查询命令

cmd

# 查看当前系统正在使用的时间源（取自w32time服务）
w32tm /query /source
# 查看同步状态、时钟偏移（服务运行时数据）
w32tm /query /status
# 强制系统时间服务执行一次同步
w32tm /resync

服务管理命令

cmd

sc query w32time
net stop w32time && net start w32time

辅助排障工具

抓包：过滤 udp.port == 123，验证报文收发；
PortQry：portqry -n 223.5.5.5 -p udp -e 123 快速测试 UDP123 连通性；
PowerShell 可截取 stripchart 输出做日志分析。

运维关键风险 & 使用要点

很多防火墙策略出站 UDP123 限流 / 阻断，stripchart 超时是时间同步最常见故障点；
仅能做诊断工具，不能替代 w32time 服务实现持续时钟校正；
若 stripchart 测试正常，但w32tm /resync失败：问题集中在 W32Time 服务配置、服务自身权限、系统策略，而非网络连通；
AD 域环境不要用 stripchart 长期对公网 NTP 测试，仅临时排障；域主机应当依托域时间层级同步。

w32tm /monitor 完整解构

指令：w32tm.exe /monitor

作用：批量探测一组 NTP 服务器（域控列表 / 手动指定节点），分别获取各节点时间、计算本机与每台服务器的时钟偏移，输出时间监控快照；独立 SNTP 客户端探测，不依赖本地 W32Time 服务，不修改本机系统时间。

典型场景：AD 域环境批量检查所有域控时钟一致性；多 NTP 节点时差巡检。

1. 底层原理

协议机制

内部封装 SNTP（NTPv4 子集），使用 UDP 123；w32tm.exe 自身完成套接字通信、报文编解码、时间戳运算，不调用 w32time.dll、不与本地 W32Time 服务建立 LRPC。

计算公式与 /stripchart 一致：

往返延迟 = (T4 − T1) − (T3 − T2)

时钟偏移 = [(T2 − T1) + (T3 − T4)] / 2
两种节点发现模式

模式 1（默认不带参数）：AD 域环境，通过 LDAP 查询域内所有域控制器列表，自动生成探测目标清单；工作组环境无域控则执行报错。
模式 2（/computers:server1,server2）：手动指定服务器名单，直接探测，跳过 LDAP 域发现流程，工作组 / 域环境通用。

核心特性

一次性快照探测（非持续循环，区别于 /stripchart）；
并行 / 串行向列表内每一台主机发送 SNTP 查询；
仅测量时差，不会校正本机时钟，不写入任何配置；
输出包含：节点名称、IP、偏移量、往返延迟、节点类型。

域发现逻辑要点

不带参数执行时，w32tm 通过 DNS SRV 记录定位域 LDAP 服务器，LDAP 查询 Domain Controllers OU 枚举所有 DC；拿到 DC 名称后逐个发起 SNTP 查询。

2. 依赖文件

主程序

%SystemRoot%\System32\w32tm.exe
用户态依赖 DLL

ws2_32.dll：UDP 套接字，收发 UDP 123 SNTP 报文
dnsapi.dll：域名解析、查询 DNS SRV 记录（域发现场景）
netapi32.dll、secur32.dll：LDAP 域控制器枚举（无参数自动枚举 DC 必备）
kernel32.dll：高精度时间戳、控制台输出、线程调度
rpcrt4.dll（辅助 LDAP 绑定）

不依赖组件

w32time.dll、svchost 托管的 W32Time 服务、W32Time 注册表配置；服务停止依然可以正常运行。

3. 依赖关系

硬性依赖

网络条件

SNTP 探测：本机出站 UDP 123 可达目标服务器；
自动枚举域控（无参数）：需要 TCP 389（LDAP）连通域控、DNS 正常解析域 SRV 记录；
使用 /computers: 指定 IP 可规避 DNS 故障。

权限

普通用户权限即可执行，无需管理员权限；仅查询、无配置修改。

可选依赖

Dnscache 服务：关闭 dnscache 仍可直接发起 DNS 查询；
W32Time 服务状态：完全无关，服务启动 / 停止不影响执行结果。

完全不依赖

LRPC 连接本地 W32Time 服务；
SeSystemtimePrivilege 修改系统时间特权；
注册表 W32Time 同步参数。

4. 逻辑链路

链路 A：w32tm /monitor（自动枚举域控）

plaintext

w32tm.exe
    ↓ dnsapi.dll 查询DNS _ntp._udp、LDAP SRV记录
    ↓ netapi32/secur32.dll LDAP连接域控，枚举全部域控制器名称列表
    ↓ 遍历DC列表，逐个解析主机IP
    ↓ ws2_32 创建UDP套接字
    对每台DC：
        构造SNTP请求 → UDP123发送
        等待应答，采集T1/T2/T3/T4时间戳
        计算偏移、往返延迟
    ↓ 汇总所有节点数据，格式化表格输出控制台

链路 B：w32tm /monitor/computers:223.5.5.5,ntp.aliyun.com

plaintext

w32tm.exe
    ↓ 解析参数内主机名（dnsapi.dll）
    ↓ ws2_32 UDP套接字，逐个向目标发送SNTP报文
    ↓ 采集应答、计算时差指标
    ↓ 打印各服务器偏移与延迟

异常分支

UDP123 阻断 → 对应节点显示超时；
LDAP 不通（非域机器直接执行/monitor）→ 枚举 DC 失败，命令报错；
域名解析失败 → 对应节点探测失败。

关键区分

/stripchart：单节点、持续循环采样
/monitor：多节点、一次性批量快照巡检

5. 配套链

标准语法示例

cmd

:: 自动枚举域内所有域控，批量时钟检测（AD环境）
w32tm /monitor

:: 手动指定多台NTP服务器巡检
w32tm /monitor /computers:"223.5.5.5,ntp.aliyun.com,time.windows.com"

:: 将巡检结果输出至日志文件
w32tm /monitor > ntp_monitor_result.txt

联动 w32tm 查询命令

cmd

# 查看本机W32Time正在跟踪的时间源
w32tm /query /source
# 查看本机同步运行状态
w32tm /query /status
# 强制本地时间服务同步
w32tm /resync
# 单点持续时延测试
w32tm /stripchart /domain:223.5.5.5 /dataonly

服务管理

cmd

sc query w32time
net stop w32time && net start w32time

排障辅助工具

抓包过滤器：udp.port == 123；LDAP 排查过滤器 tcp.port == 389
PortQry：portqry -n dc01 -p udp -e 123 验证域控 NTP 端口连通

运维关键要点

AD 域巡检首选命令，快速判断多台域控之间时钟是否发散；域内 DC 时差过大将引发 Kerberos 认证失败；
/monitor 探测结果 ≠ 本机 W32Time 同步源；它只是独立临时测量，不影响后台服务运行逻辑；
工作组主机不要直接执行不带参数的w32tm /monitor，必须搭配/computers:；
大量节点同时探测时，部分防火墙会触发 UDP 限流，出现偶发超时属于常见现象。

w32tm /resync 完整解构

指令：w32tm.exe /resync

作用：向本机 W32Time（Windows Time）后台服务 下发指令，立即触发一次时间同步流程；按照服务已加载的配置连接 NTP 源校正系统时钟。

核心区别：/stripchart、/monitor 是 w32tm 独立 SNTP 客户端；/resync 不自己发包，全权委托 w32time 服务执行同步。

1. 底层原理

通信模型

w32tm.exe 作为命令行客户端，通过 本地 LRPC（Local RPC） 与运行在 svchost.exe -k LocalService 中的 w32time.dll 建立会话，下发「立即执行同步」控制指令。
同步执行主体

真正的 NTP 报文收发、时间计算、时钟校正全部由 w32time 服务内部逻辑完成，w32tm.exe 仅充当指令下发者，不参与 NTP 报文编解码。
服务内部执行逻辑

收到 resync 指令后：

① 读取当前运行时配置（对等 NTP 源、同步模式：域层次 / 手动 NTP）；

② 使用 UDP 123 向配置的时间源发起 NTP/SNTP 查询；

③ 计算时钟偏移；

④ 校验阈值策略（默认若偏差超过 15 小时，默认拒绝自动校正，resync 可突破该限制）；

⑤ 调用内核 API SetSystemTimeAdjustment / SetSystemTime 修正系统软件时钟；

⑥ 同步完成后通过 RPC 返回执行结果给 w32tm.exe。
关键策略特性

正常后台轮询同步受「最大相位校正阈值」约束；/resync 强制尝试同步，可修复长时间时钟漂移场景；
不会修改注册表配置，仅触发一次即时同步动作；
若服务当前正在执行同步，再次下发 /resync 通常排队或直接返回忙状态。

2. 依赖文件

主程序

%SystemRoot%\System32\w32tm.exe
客户端依赖 DLL（w32tm.exe 侧）

rpcrt4.dll：LRPC 通信，和 w32time 服务建立 RPC 通道
advapi32.dll：服务状态查询、权限校验
kernel32.dll：句柄、控制台输出、基础进程 API

服务端组件（真正执行同步）

w32time.dll，承载进程：svchost.exe -k LocalService
服务内部网络依赖

ws2_32.dll（svchost 进程内加载，用于 UDP123 报文收发）
持久配置载体

注册表：HKLM\SYSTEM\CurrentControlSet\Services\W32Time

3. 依赖关系

硬性依赖

W32Time 服务必须处于 Running

服务停止 → LRPC 连接失败，命令直接报错，无法触发同步；
网络权限：本机出站 UDP 123 能够连通配置的 NTP 服务器；
权限要求：必须管理员权限

触发同步并校正系统时钟，需要特权 SeSystemtimePrivilege；普通用户执行会权限不足失败。

可选依赖

DNS：若 NTP 源使用域名，依赖 DNS 解析；使用 IP 可绕过；
域环境依赖 LDAP（服务启动阶段发现域控时间源；单次 resync 过程不会重复 LDAP 查询）。

不依赖

w32tm 自身 UDP 套接字能力；同步报文由 svchost 内的 w32time.dll 发出；
/stripchart//monitor 这类独立 SNTP 探测逻辑；
执行命令本身不直接读写注册表（配置由服务启动时加载）。

4. 逻辑链路

plaintext

管理员执行 w32tm /resync
        ↓
w32tm.exe 加载 rpcrt4.dll，尝试建立LRPC连接到w32time服务端点
        ↓
RPC下发控制指令：请求立即启动一次同步
        ←
svchost(w32time.dll)接收指令，启动同步流程：
        1. 使用已加载的运行时NTP对等列表
        2. ws2_32发起UDP 123 NTP请求
        3. 接收应答、计算时钟偏移
        4. 校验策略阈值，调用内核接口校正系统时钟
        5. 生成同步成功/失败结果
        ↓
w32time服务通过RPC把执行结果回传给w32tm.exe
        ↓
w32tm.exe打印同步结果到控制台

【异常分支1：W32Time服务未启动】
LRPC连接失败 → 输出报错，流程终止

【异常分支2：权限不足（普通用户）】
令牌缺少SeSystemtimePrivilege → 同步校正阶段被内核拒绝，同步失败

【异常分支3：UDP123阻断/NTP服务器无响应】
服务侧NTP请求超时 → 返回同步失败

重要区分

w32tm /resync：委托后台服务同步，可修改系统时钟

w32tm /stripchart：w32tm 独立探测，仅测量，永不修改时钟

5. 配套链

常用标准语法

cmd

:: 强制立即同步
w32tm /resync
:: 抑制等待，快速返回（无需等待同步完成）
w32tm /resync /nowait

配套查询诊断命令

cmd

:: 查看当前跟踪的时间源
w32tm /query /source
:: 查看同步状态、偏移、上次同步时间
w32tm /query /status
:: 查看完整运行时配置
w32tm /query /configuration
:: 单点连通性测试（独立发包，预排查UDP123）
w32tm /stripchart /domain:223.5.5.5 /dataonly

服务管理联动

cmd

:: 重启时间服务，重载注册表配置
net stop w32time && net start w32time
sc query w32time

配置修改流程（标准变更步骤）

cmd

w32tm /config /manualpeerlist:"223.5.5.5,0x9" /syncfromflags:manual /reliable:yes /update
net stop w32time && net start w32time
w32tm /resync

排障观测

事件查看器 → Windows 日志 \ 系统，来源 W32Time；
抓包过滤：udp.port == 123，报文由 svchost.exe 发出，不是 w32tm.exe；
权限核查：whoami /priv 确认令牌启用 SeSystemtimePrivilege。

运维关键要点

抓包排查区分：resync 产生的 NTP 包源进程是 svchost；stripchart 产生的报文源进程是 w32tm.exe；
AD 域内不要随意修改域成员手动 NTP 源，优先使用域层次同步；
时钟偏移极大场景，自动轮询同步会被策略拦截，必须手动执行/resync；
防火墙放行 UDP123 需要放行svchost 出站，而非 w32tm.exe。

w32tm /config 完整解构

指令：w32tm.exe /config

作用：修改 Windows Time 服务 持久化注册表配置项，写入静态参数；可选通知服务重载配置。

核心定位：只负责持久化存储写入，不会即时变更服务内存运行参数；修改后必须重启服务或配合 /update 通知服务加载新配置。

1. 底层原理

数据载体

W32Time 静态配置持久保存在注册表：

HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Parameters

HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config

w32tm /config 本质是封装后的注册表写入工具，不直接和 w32time 服务进行 LRPC 同步交互（除非携带 /update 参数）。
参数逻辑

命令行传入的 manualpeerlist、syncfromflags、reliable、LocalClockDispersion 等参数，会转换为对应注册表 REG_SZ / REG_DWORD 键值写入。
/update 参数分支

不带 /update：仅写入注册表，不通知服务；服务内存运行配置维持旧值，重启服务才生效。
携带 /update：写入注册表后，通过服务控制 API 发送变更通知，w32time 服务会重新加载注册表配置更新内存运行时参数。

边界约束

该命令不发起任何 NTP 网络请求、不测试 NTP 服务器连通性、不触发时间同步；配置是否合法、NTP 源是否可达，命令本身不会校验。

2. 依赖文件

主程序

%SystemRoot%\System32\w32tm.exe
核心依赖 DLL

advapi32.dll：注册表打开、写入、权限操作；服务控制通知（/update 场景）
kernel32.dll：句柄管理、控制台输出、字符串处理
rpcrt4.dll（仅 /update 可选链路，用于服务通信通知）

不依赖组件

ws2_32.dll（单纯 /config 不产生网络报文）、w32time.dll 业务逻辑；

不依赖 UDP 123 网络、DNS。

3. 依赖关系

硬性依赖

管理员权限强制要求

修改 HKLM\SYSTEM 路径注册表需要管理员令牌；普通用户执行直接报错，拒绝写入。
注册表权限：目标注册表项 ACL 未被组策略锁定。

可选依赖

/update 参数生效前提：W32Time 服务处于 Running 状态；

服务停止时，/update 通知发送失败，注册表写入依旧完成，只能依靠重启服务加载配置。

完全不依赖

NTP 服务器连通、UDP 123 网络；
LRPC 查询运行时状态（区别于 /query）；
SeSystemtimePrivilege（不需要校正系统时间，仅改配置）；
DNS 解析。

4. 逻辑链路

链路 A：w32tm /config （不带 /update）

plaintext

管理员执行 w32tm /config [参数]
        ↓
w32tm.exe 加载 advapi32.dll
        ↓
打开 HKLM\SYSTEM\CurrentControlSet\Services\W32Time 注册表项
        ↓
解析命令参数，转换为对应键值，覆盖写入注册表
        ↓
写入完成，控制台提示成功
⚠️ 服务内存运行配置保持旧值，变更尚未生效
【生效条件：重启 W32Time 服务】

链路 B：w32tm /config/update（推荐标准用法）

plaintext

管理员执行 w32tm /config /xxx /update
        ↓
advapi32.dll 写入注册表持久配置
        ↓
尝试向运行中的w32time服务发送配置重载通知
        ←
svchost内w32time.dll收到通知，重新读取注册表，刷新内存运行时参数
        ↓
配置即时生效（无需手动重启服务）

异常分支：W32Time服务未运行
注册表写入成功，但通知投递失败；新配置仅在下次服务启动加载。

关键认知：

/config 只管 “存参数”；

w32time 服务运行时采用内存运行时配置，注册表只是磁盘持久层，二者不会自动实时同步。

5. 配套链

标准完整配置模板（工作组手动 NTP）

cmd

w32tm /config ^
/manualpeerlist:"223.5.5.5,0x9;ntp.aliyun.com,0x9" ^
/syncfromflags:manual ^
/reliable:yes ^
/update

标志位 0x9 = use_as_client + symmetric_active

AD 域主机标准（恢复域层次同步，清除手动 NTP）

cmd

w32tm /config /syncfromflags:domhier /reliable:no /update

配置变更后校验链路

cmd

# 查看运行时生效配置（内存）
w32tm /query /configuration
# 查看当前跟踪的时间源
w32tm /query /source
# 测试NTP连通性
w32tm /stripchart /domain:223.5.5.5 /dataonly
# 触发一次同步
w32tm /resync

服务启停重载方案（/update 失效时兜底）

cmd

net stop w32time && net start w32time
sc query w32time

注册表直接核验（对比命令写入结果）

powershell

Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters
Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Config

运维关键要点

很多人误区：执行 /config 立刻生效；不带 /update 必须重启服务；
组策略如果推送 W32Time 配置，会覆盖 w32tm 写入的注册表；命令修改会被策略回滚；
/config 不会校验 peer 地址是否合法，写错域名 / IP 不会报错，后续同步失败才暴露问题；
AD 域成员禁止随意设置 manualpeerlist，破坏域时间层级，极易引发 Kerberos 时钟偏差认证失败；
修改配置标准流程：/config /update → /query /configuration 校验 → /stripchart 连通测试 → /resync 执行同步。

W32TM 命令	功能描述	PowerShell 等效命令
`w32tm /query`	查询时间服务的配置信息。	Get-WmiObject -Class Win32_OperatingSystem
`w32tm /query /status`	查询当前时间服务的状态信息。	Get-WmiObject -Class Win32_OperatingSystem
`w32tm /query /source`	查询当前时间同步源。	Get-WmiObject -Class Win32_TimeZone
`w32tm /config`	配置时间服务设置。	`Set-WmiInstance -Class Win32_OperatingSystem -Arguments @{TimeZone="New TimeZone"}`
`w32tm /resync`	立即进行时间同步。	`Restart-Service w32time`
`w32tm /stripchart`	绘制时间源的图表，显示与计算机本地时间的差异。	`w32tm /stripchart /computer:<NTP Server>`
`w32tm /monitor`	监视并报告远程服务器的时间同步状态。	`Test-Connection -ComputerName <NTP Server>`
`w32tm /unregister`	取消注册时间服务。	`Remove-WmiObject -Class Win32_OperatingSystem`
`w32tm /register`	注册时间服务。	`Register-WmiObject -Class Win32_OperatingSystem`
`w32tm /debug`	显示有关时间服务的调试信息。	Get-WmiObject -Class Win32_OperatingSystem
`w32tm /tz`	显示当前时区信息。	Get-WmiObject -Class Win32_OperatingSystem
`w32tm /set`	配置时间服务的具体设置（例如配置时间源）。	`Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Services\W32Time\TimeProviders\NtpClient" -Name "NtpServer" -Value "<NTP Server>"`

这些 PowerShell 命令可能需要根据系统环境和需求进一步调整。 w32tm 的功能可以通过 PowerShell 中的 WMI 命令来实现，同时 PowerShell 提供了更多灵活的方式来管理和自动化时间服务的配置与状态查询。

在 Windows PowerShell 中，您可以使用 w32tm 命令来配置多个 NTP 服务器。要添加多个 NTP 源地址，可以执行以下命令：

powershellCopy Code

w32tm /config /manualpeerlist:"ntp5.tencent.com, ntp7.aliyun.com" /syncfromflags:manual /reliable:YES /update

此命令将 ntp5.tencent.com 和 ntp7.aliyun.com 设置为手动同步的 NTP 服务器。之后，您可以使用以下命令立即同步时间：

powershellCopy Code

w32tm /resync

如果您希望确保设置生效，可以重新启动 Windows 时间服务：

powershellCopy Code

Restart-Service w32time

w32tm 是 Windows 操作系统中的一个命令行工具，用于配置和监视系统时间服务。它提供了一些功能，如同步时钟、显示时间配置信息和调整时间源等。

w32tm 命令可用于以下方面：

**时间同步**：w32tm 可用于将计算机的本地时钟与外部时间源进行同步。这对于确保网络中的计算机具有相同的时间或与外部时间服务器同步非常重要。

**时间配置**：w32tm 可用于配置本地计算机的时间设置，如时间区域、同步间隔、时间源等。

**时间信息显示**：w32tm 可用于显示本地计算机时间服务的配置信息和状态。

以下是使用 w32tm 命令的示例：

同步计算机的本地时钟与特定时间服务器：
w32tm /resync /rediscover
显示计算机当前的时间配置信息：
w32tm /query /configuration
显示本地计算机的时间状态和最近一次同步的时间源：
w32tm /query /status
请注意，在使用 w32tm 命令时，可能需要管理员权限才能执行某些操作。此外，如果你具有域控制器或网络环境，最好根据相关的组策略和推荐做法来配置和同步时间。

w32tm 命令有许多其他参数，用于执行不同的操作和显示更多的信息。以下是一些常用的 w32tm 命令参数：

/register：将时间服务注册为 Windows 的服务。

/unregister：取消注册时间服务。

/monitor：以监视模式运行时间服务，显示关于时间同步和源的信息。

/stripchart：显示时间同步的统计信息和图表。

/config：配置时间服务的设置，如同步间隔、时间源等。

/resync：强制立即同步计算机的本地时钟。

/rediscover：重新发现可用的时间源。

/query：查询和显示时间服务的配置信息、状态和时间源。

/update：向时间源发送一条立即同步的请求。

/monitoradjtime：监视计算机的时钟调整。

这只是 w32tm 命令中的一些常见参数，还有其他参数可供使用。你可以通过在命令提示符下输入 w32tm /? 来查看完整的命令帮助和参数列表。

请注意，在使用 w32tm 命令时，需要使用适当的权限（通常是管理员权限），并且可能需要对防火墙进行设置以允许时间同步。

/configfile:<文件路径>：使用指定的配置文件设置时间服务。

/updateinterval:<秒数>：设置时间同步的更新间隔。

/manualpeerlist:<服务器列表>：手动设置时间源服务器的列表。

/syncfromflags:<标志>：设置同步操作的标志。例如，使用 DOMHIER 标志可以指示从域层次结构中的可用域控制器进行时间同步。

/reliable:<是/否>：指示时间服务是否可靠。

/stripchart：生成时间同步的图表，显示时钟偏移量和延迟。

/ntte: 使用 Network Time Protocol (NTP) 执行测试。

/ntpte: 使用 NTP 查询所有已配置的 NTP 服务器。

这些参数可以根据你的需求来使用。你可以在命令提示符中输入 w32tm /? 来查看更详细的命令帮助，其中包含完整的参数列表和用法说明。

请注意，在使用 w32tm 命令时，需要具有适当的权限（通常是管理员权限）。

如果你想使用批处理脚本来自动化配置局域网中的自建时间服务器，可以考虑以下步骤：

打开文本编辑器，创建一个新的批处理脚本文件（例如，configure_ntp_server.bat）。

在批处理脚本中，使用 w32tm 命令配置 Windows 自带的 W32Time 作为 NTP 服务器。以下是一个示例脚本：

bat
@echo off

REM 停止 Windows 时间服务
net stop w32time

REM 设置时间同步源
w32tm /config /manualpeerlist "ntp.example.com" /syncfromflags:manual /reliable:yes /update

REM 启动 Windows 时间服务
net start w32time

REM 重新同步时间
w32tm /resync
在上述示例中，你需要将 "ntp.example.com" 替换为你的时间同步源服务器的ip地址或主机名。

保存批处理脚本文件。

将批处理脚本文件分发到局域网中的其他计算机。

在其他计算机上，以管理员权限运行批处理脚本文件。

当批处理脚本运行时，它将使用 w32tm 命令配置并启动 W32Time 作为 NTP 服务器，并将时间同步源设置为你指定的服务器地址。最后，它将尝试重新同步时间以确保正确的时间同步。

请注意，在执行批处理脚本之前，确保你具有适当的管理员权限。

posted @ 2023-07-20 03:45 suv789 阅读(1394) 评论(0) 收藏举报

刷新页面返回顶部

suv789

NTPv4 + NTSv4 与 Windows SNTP（W32Time/w32tm）完整解构对比

一、底层原理分层拆解

1. 标准完整 NTPv4（chrony /ntpd）

2. Windows W32Time（SNTP 实现，w32tm 配套）

二、依赖文件对比

NTPv4+NTS（Linux chrony 示例）

Windows W32Time / w32tm

三、依赖关系对比

NTPv4+NTS

W32Time（SNTP）

四、逻辑链路完整对比

链路 A：标准 NTPv4 + NTS 客户端同步流程

链路 B：Windows W32Time 同步流程（w32tm /resync 触发）

链路 C：w32tm /stripchart/monitor（独立 SNTP 探测）

五、核心差异汇总表

六、配套链

1. NTPv4+NTS 配套工具（Linux）

2. Windows W32Time 配套工具链（w32tm 系列）

七、运维关键风险与落地结论

w32time.dll（Windows Time 服务）演进里程碑完整梳理

一、Windows 2000（w32time.dll 初代基准版）

二、Windows Server 2003 / Windows XP（第一波能力增强）

三、Windows Vista / Server 2008、Win7 / Server2008R2

四、Windows 8 / Server2012、Win8.1 / Server2012R2

五、Windows Server 2016 / Windows10 1607 高精度重构里程碑（最重要版本跃迁）

六、Windows Server 2019 / Win10 1809、Windows 11、Server2022/2025

二、贯穿全版本的关键不变特征（w32time.dll 基因约束）

三、关键版本能力横向简表

四、延伸结论卡脖子（对接你之前关注的 NTPv4+NTS 对比）

w32tm 英文全称

w32tm.exe 完整解构

一、基础概述

1. 底层原理

2. 依赖文件

3. 依赖关系

硬性依赖

可选依赖

不依赖

权限边界

4. 逻辑链路

链路 A：查询当前配置 w32tm /query /configuration

链路 B：手动强制同步 w32tm /resync

链路 C：连通性测试 w32tm /stripchart /domain:time.windows.com

链路 D：域环境自动发现时间源

5. 配套链（常用命令、配套工具、服务管理）

① w32tm 高频命令

② 配套服务管理

③ 等效 / 互补工具

④ 观测日志

6. 运维关键风险点补充

w32tm /stripchart 与 w32tm /monitor 完整拆解对比

一、w32tm /stripchart

1. 底层原理

2. 依赖文件

3. 依赖关系

4. 逻辑链路

5. 配套链

二、w32tm /monitor

1. 底层原理

2. 依赖文件

3. 依赖关系

4. 逻辑链路

5. 配套链

三、核心区别对照表

四、关键运维区分要点

w32tm /query 完整解构

1. 底层原理

2. 依赖文件

3. 依赖关系

硬性依赖

可选依赖

不依赖

4. 逻辑链路

链路 1：w32tm /query/configuration（完整配置）

链路 2：w32tm /query/status（同步状态）

链路 3：w32tm /query/source（当前生效 NTP 源）

链路 4：w32tm /query/peers（所有对等 NTP 节点清单）

5. 配套链

完整语法集

链路 A：查询当前配置 `w32tm /query /configuration`

链路 B：手动强制同步 `w32tm /resync`

链路 C：连通性测试 `w32tm /stripchart /domain:time.windows.com`