PowerShell查询本机NTP服务器两种方式结果不一致 哪个结果正确？

第二种通过w32tm查询状态得到的结果，才是当前主机实际生效使用的NTP服务器地址；第一种读取注册表的方式拿到的只是静态默认配置，不代表运行时实际使用的地址。

两种查询方式的核心差异 #

第一种：注册表读取方式 #

该方式读取的是注册表路径HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters下的NtpServer值，属于W32Time（Windows时间服务）的静态初始配置项，不会随服务运行过程中的动态配置更新而改变。
当主机存在以下任意场景时，该静态值会和实际使用的NTP地址不符：

• 主机加入AD域环境，自动优先使用域控制器作为时间同步源
• 网络通过DHCP Option 42字段下发了内网专用NTP服务器地址
• 域组策略或本地组策略强制下发了统一的时间同步服务器配置
  对应的查询命令及返回示例：

> (Get-ItemPropertyValue -Path HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters -Name NtpServer).split(',')[0]
time.windows.com
> (nslookup time.windows.com 2>$null | sls Address)[-1].ToString().Split()[-1]
51.145.123.29

第二种：w32tm运行态查询方式 #

w32tm -query -status命令会直接和正在运行的W32Time服务进程通信，读取服务当前的实时运行状态：返回的Source字段是服务当前已选中、正在执行时间同步的对端源地址，后续解析得到的IP、以及状态字段中直接返回的对端ID（IP），都是主机当前实际建立时间同步连接的真实地址，属于生效的运行时数据。
对应的查询命令及返回示例：

> (w32tm -query -status | sls ^Source).ToString().Split()[1]
ntpServer.myLAN.lan
> (nslookup ntpServer.myLAN.lan 2>$null | sls Address)[-1].ToString().Split()[-1]
X.Y.Z.T
> (w32tm -query -status | sls ^ID.*IP).ToString().Split()[-1].Split(')')[0]
X.Y.Z.T

从返回的内网域名ntpServer.myLAN.lan可以判断，当前主机通过域配置或DHCP获取到了内网本地NTP服务器，时间同步实际走内网链路，并未使用注册表默认配置的公网time.windows.com。

内容的提问来源于stack exchange，提问作者SebMa