【项目背景】
稀土大厦一个单位做信创替换，三十台银河麒麟 V10 桌面，用了两周集体反映：早上开机时间慢八小时，OA 里的待办全排到昨天晚上，电子签章提示证书未生效。IT 小王改了时区，改成「上海」，重启又变回 UTC。他怀疑是主板电池没电，换了五块电池，没用。
很多人觉得时间不对就是时区选错或者 CMOS 电池没电。但实际上麒麟桌面默认 hardware clock 按 UTC 存，系统读出来再按 locale 转换，如果 RTC 被当成本地时间写入，就会出现整整八小时的固定偏差；再叠加没有内网 NTP 源，机器各走各的，偏差只会越来越大。
【咨询设计】
先确认偏差性质：执行 timedatectl，显示 RTC time 与 Local time 相差 8 小时，时区 Asia/Shanghai，NTP synchronized: no。说明系统把 RTC 当成本地时间读，又叠加了一层时区转换。方案分三步：统一 RTC 语义为 UTC（timedatectl set-local-rtc 0）；部署内网 NTP 源，用一台服务器对接北斗授时或国家授时中心，其他机器指向它；用 chrony 替代 ntpd，桌面环境对间歇联网更友好。
内网源选一台闲置服务器装麒麟服务器版，chrony 配置 allow 10.10.0.0/16，本地时钟用 GPS/北斗模块（u-blox NEO-M8T）做硬件参考，精度能到毫秒级。桌面端配置 server 10.10.0.10 iburst，开启 makestep 1.0 3，允许启动时大步调整。
【施工规划】
三十台机器逐台处理：先关自动同步，清掉 /etc/adjtime，写入 UTC 标记，再启 chrony。批量做用 Ansible，一台一台点会把小王逼疯。脚本里加判断，如果本机时间与服务器偏差超过 300 秒，先手动 step 一次再交给 chrony 微调，否则 chrony 会拒绝同步。
证书和签章对时间敏感，偏差超过 5 分钟就报错。我们在每台机器加了一个开机自检脚本，登录时比对 NTP 源，偏差大于 2 秒弹提示并自动校时。机房那台 NTP 服务器双电源、接 UPS，天线引到窗边，别放在机柜里，钢筋混凝土楼板会把北斗信号挡掉。
【安全补丁】
NTP 本身是反射攻击的常用载体，配不好就是帮凶。服务器端关闭 monlist，限制 rate limit，只允许内网网段查询，禁止作为上游给公网用；客户端只信任内网源，开启 NTS 不现实就至少做来源校验。顺带查了这三十台机器的账号，发现统一用 kylin/123456，sudo 免密，SSH 开着 root 登录。全部改成一人一账号，sudo 需密码，SSH 禁 root、改端口、只允许密钥登录，装主机加固基线脚本跑一遍。
【验收交付】
三十台机器偏差全部收敛到 50ms 以内，连续观察七天，最大偏差 120ms。OA 待办时间正常，签章通过。给小王留了一份《信创桌面时间同步配置手册》，八页，含排错命令和常见报错对照。另外做了个检查脚本，每周一自动跑，输出 CSV 报告，谁掉队一眼看出来。
【售后承诺】
信创这块我们做了四年，麒麟、统信、方德都上过手。时间同步这种小问题，电话里十分钟能说清，打 17704868686。要上门 2 小时到，大年三十也一样。国产化替换的坑我们踩过一遍，能帮你少走弯路。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）