Active Directory站点与服务拓扑配置的核心目标是优化身份验证与复制流量。需按物理网络质量划分站点、分配域控制器、调整站点链接成本与复制间隔，并通过nltest、dcdiag等工具持续验证调优。

在 Active Directory 中配置站点与服务拓扑，核心目标是让域控制器（DC）按物理网络位置合理分组，从而优化身份验证流量、降低跨广域网（WAN）复制开销，并提升 Kerberos 和 DNS 定位效率。这不是单纯“画个图”，而是结合网络带宽、延迟和管理边界做的逻辑映射。

一、先定义好物理网络站点

站点（Site）代表一个高速、低延迟的局域网区域，比如同一办公楼、同一数据中心机房或同一云可用区内的子网。关键不是地理距离，而是网络连接质量：

• 用 服务器管理器 → 工具 → Active Directory 站点和服务 打开管理控制台
• 右键“站点” → 新建站点，输入名称（如 Beijing-DC1），选择默认站点链接（DEFAULTIPSITELINK）
• 展开该站点 → 右键“子网” → 新建子网，填入 IP 地址范围（如 10.20.0.0/16）并关联到刚创建的站点
• 确保每个子网只归属一个站点；跨子网不重叠，避免客户端被错误导向远端 DC

二、把域控制器分配到对应站点

安装完 DC 后，默认会被放入 Default-First-Site-Name。你需要手动将其移入正确站点：

• 在“Active Directory 站点和服务”中，展开目标站点 → 展开“服务器”
• 若 DC 未出现在此处，说明它还没被分配——需右键“服务器” → 新建服务器，输入 DC 的主机名（如 dc01.corp.local）
• 也可直接拖拽已存在的 DC 对象（在“默认站点”下）到目标站点的“服务器”容器内
• 完成后，检查 DC 的 NTDS 设置：右键 DC → 属性 → “NTDS 设置”页，确认“站点”字段已更新

三、调整站点链接与复制计划

站点间通过“站点链接”（Site Link）控制复制行为。默认的 DEFAULTIPSITELINK 使用每15分钟一次的自动调度，但可能不适合跨地域场景：

• 右键“站点链接” → 新建站点链接，添加参与复制的站点（如 Beijing-DC1 和 Shanghai-DC2）
• 设置成本值（Cost）：数值越小优先级越高（如本地链路设为 10，跨城专线设为 100，卫星链路设为 500）
• 修改复制间隔：默认 15 分钟，高延迟链路可设为 60 或 180 分钟，避免无效重试
• 启用“桥接所有站点链接”或手动配置站点链接桥接器（Bridgehead Server），确保多站点拓扑可达

四、验证与持续观察

配置不是一劳永逸，要结合真实流量反馈调优：

• 运行 nltest /dsgetsite 查看客户端当前所属站点
• 用 dcdiag /test:topology 检查复制路径是否按预期生成
• 查看事件日志中的 Directory Service 和 NTDS Replication 类别，留意 1864、1925 等常见警告
• 监控 LDAP Bind Time 和 Kerberos Authentication Time 性能计数器，确认认证响应是否落在本地站点内