核心是让客户端自动定位最近域控制器并保障跨站点复制可控可靠：按物理区域划分站点并精确绑定子网，设计带成本值的显式站点链路，最后用nltest、repadmin等命令验证。
规划子网与站点链路是多站点 ad 环境稳定运行的基础，核心在于让客户端自动找到最近的域控制器（dc），同时保障跨站点复制可控、可靠。
按物理/网络区域划分站点
每个站点应对应一个明确的地理位置或网络区域，例如“北京数据中心”“新加坡办公区”“香港托管机房”。站点不是按部门或业务线划分，而是按 IP 连通性与延迟特征来定义。同一站点内的客户端到本地 DC 的 RTT 通常应 ≤10ms；跨站点则可能达 30–100ms 或更高。站点命名建议使用可读性强、无空格、不含特殊字符的英文名（如 BJ-DC、SG-Office），便于脚本管理和日志识别。
为每个站点分配唯一且不重叠的子网
子网必须精确匹配该区域客户端和域控制器实际使用的 IP 地址段。常见错误是用超大网段（如 10.0.0.0/8）覆盖多个区域，这会导致客户端被错误归入远端站点。正确做法是：
- 北京办公网用 192.168.10.0/24 → 关联站点 BJ-DC
- 新加坡办公网用 172.16.20.0/24 → 关联站点 SG-Office
- 香港服务器网段用 10.100.5.0/26 → 关联站点 HK-Hosting
子网掩码需真实反映路由设备配置，不能仅凭规划预留。IPv6 子网同样需要注册（如 2001:db8:1::/64），否则 IPv6 客户端无法正确归属站点。
设计站点链路以控制复制路径与时序
默认情况下所有站点自动通过“DEFAULTIPSITELINK”互联，但生产环境必须显式建链并调优。关键操作包括：
- 新建链路时禁用“桥接所有站点链接”，改用手动桥接或显式链路桥，避免生成意外复制环路
- 为高延迟链路（如跨境海缆）设置较高成本值（如 200），低延迟链路设为默认 100 或更低（如 50）
- 为关键链路（如总部到灾备中心）单独建立专用链路，并设置较短复制间隔（如 15 分钟），普通链路可用 180 分钟
- 若某站点只读（如部署 RODC 的分支机构），可将其从部分链路中排除，减少不必要的复制流量
验证与持续观测要点
配置完成后不能仅依赖界面显示，需用命令确认实际行为：
- 运行 nltest /dsgetsite 检查客户端是否归属预期站点
- 用 repadmin /showrepl 查看各 DC 是否按链路设定发起复制，有无失败或延迟积压
- 执行 dcdiag /test:advertising 验证 DC 是否在所属站点内正常发布服务记录
- 登录后检查事件日志中的 NETLOGON 5723 事件，确认认证是否命中本地 DC
链路与子网不是一次配置终身有效，当新增办公点、调整网络架构或更换 ISP 线路时，必须同步更新 AD 站点拓扑。
