域控制器物理位置规划需按地理与网络拓扑划分站点，确保DC靠近用户、骨干和流量入口，兼顾冗余与安全；站点须真实反映IP子网和链路质量，跨WAN必须分站，IPv4/IPv6子网需分别定义；DC部署应角色匹配：林根DC放中心数据中心，区域性DC置本地核心交换区，分支宜用RODC；GC需分布式部署于用户密集站点；DNS须与DC共置并可靠配置；部署后须持续验证复制健康、站点归属及延迟指标。
域控制器的物理位置规划不是简单地“哪里有空机房就放一台”，而是直接影响身份验证延迟、复制效率、故障隔离和用户体验的关键设计环节。核心原则是让dc靠近用户、靠近网络骨干、靠近业务流量入口，同时兼顾冗余与安全边界。
按地理与网络拓扑划分站点
AD站点（Site）必须真实反映底层IP子网和网络连接质量，不能仅按行政区域或楼层命名。每个局域网段（如一个办公楼层或分支机构LAN）应归属唯一站点；跨广域网（WAN）链路必须明确划分为不同站点，并配置对应站点链接（Site Link）。
- 同一物理地点但网络隔离的子网（如生产网/办公网/访客网），应分属不同站点，避免错误归属导致跨站查询或复制
- IPv4和IPv6子网需分别定义站点——Windows默认优先使用IPv6反向DNS解析定位站点，若IPv6 DNS未正确配置，客户端可能被错误归入默认站点，引发高延迟认证
- 站点链接的成本值（Cost）应基于实际带宽与延迟设定：骨干链路设为10–50，WAN链路设为100–500，确保KCC优先选择低开销路径构建复制拓扑
DC部署位置与角色匹配
不是所有DC都该放在同一机房。要根据功能需求和访问模式差异化部署：
- 林根域控制器（Schema Master等操作主机）建议部署在中心数据中心，网络可达性高、备份完备、访问控制严格
- 区域性DC应部署在本地网络核心交换区，紧邻用户网关，确保95%以上用户登录请求能在毫秒级完成（理想延迟≤20ms）
- 分支办公室若带宽受限或安全性要求高，可部署RODC（只读域控制器），其不存储密码哈希、不参与写入复制，但需确保至少一台可写DC能被应用逻辑正常发现和调用
- 全局编录（GC）服务器不宜全部集中——应在每个用户密集的站点至少部署1台GC，减少跨站LDAP查询，尤其对Exchange、Skype等依赖GC的服务至关重要
硬件与网络协同优化
物理位置选好后，还需配套基础设施支撑：
- DC所在网络段应具备稳定低延迟（≤1ms）的二层互通能力，避免经多跳路由器或策略防火墙引入抖动
- 跨站点复制链路建议启用压缩（默认已开启），并设置复制窗口（如避开业务高峰的凌晨2:00–4:00），防止AD复制争抢业务带宽
- 单台DC承载用户数建议不超过5000人（并发登录峰值需额外评估），超规模时应横向扩展而非堆配资源；每1000用户约需400MB NTDS数据库空间，GC额外增加10%容量余量
- DNS服务必须与DC共置（推荐在同一服务器），且配置为条件转发或根提示可靠，避免因DNS解析失败导致站点定位失败或DC发现超时
验证与持续观察
部署后不能一劳永逸：
- 用
dcdiag /test:replications检查复制健康度，重点关注LAST_KNOWN_GOOD时间戳是否滞后 - 通过
nltest /dsgetsite和nltest /dsgetdc:域名确认客户端是否接入预期站点和DC - 监控
NTDS Replication\*性能计数器，特别是“Replication Pending Operations”和“Replication Latency Secs”指标 - 定期审查站点链接调度与KCC生成的复制拓扑（
repadmin /showrepl /verbose），避免因网络变更导致拓扑僵化
