域控制器不应做网卡绑定，因AD DS和DNS依赖稳定单路径网络，绑定易致ARP异常、DNS注册失败、Kerberos验证中断；推荐单网卡主用+静态路由方案。
域控制器一般不建议在多网卡环境下做网络绑定（如linux的bonding或windows的nic teaming），尤其不能对域控本身启用lacp、静态聚合或负载均衡模式。这是因为ad ds和dns服务高度依赖稳定的单路径网络行为，绑定可能引发arp响应异常、dns注册失败、kerberos票据验证中断等问题。
为什么域控制器不该做网卡绑定
Active Directory对网络稳定性、IP地址唯一性、DNS A记录注册一致性要求极高。网卡绑定会带来以下风险：
- 多个网卡共用一个IP时，Windows可能无法正确向DNS注册该IP对应的主机名（_msdcs、_ldap等SRV记录出错）
- DC重启或网卡切换期间，客户端可能短暂丢失域连接，导致组策略更新失败、登录延迟甚至认证拒绝
- 某些绑定模式（如主备切换）会改变MAC地址，触发交换机端口安全或ARP表刷新，影响内网通信连续性
- 微软官方文档明确指出：域控制器上的NIC Teaming仅在特定硬件厂商支持且经充分测试的场景下才可考虑，生产环境普遍推荐禁用
多网卡域控的正确配置方式
若服务器物理上有多块网卡（例如LAN+DMZ、LAN+WAN），应采用“分离用途、单网卡主用”策略，而非绑定：
- 只启用一块网卡用于域服务：通常选内网网卡（如192.168.0.x），配置静态IP、子网掩码、无默认网关，并将DNS指向自身（127.0.0.1或本机IP）
- 其他网卡保持禁用或仅作非域用途：如外网网卡仅用于远程管理（RDP/WinRM）、系统更新、备份传输等，不参与AD通信
- 禁用未使用网卡的IPv6和NetBIOS：防止其意外注册DNS或响应SMB广播，干扰域发现
- 确保所有网卡的“接口跃点数”设置合理：主用网卡设为较低值（如10），其他网卡设为较高值（如50），避免系统自动选择错误出口路由
需要跨网段通信时的替代方案
当内网存在多个子网（如192.168.1.0/24、192.168.2.0/24），而域控只接在一个子网时，应通过路由而非绑定解决：
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 在域控上添加静态路由：
route add -p 192.168.2.0 mask 255.255.255.0 192.168.1.1（假设192.168.1.1是通往2段的网关） - 更规范的做法是在核心三层交换机或防火墙上配置静态路由，让流量自然转发到域控所在网段
- 确保各网段客户端DNS均指向域控IP，且防火墙放行TCP/UDP 53（DNS）、88（Kerberos）、389（LDAP）、445（SMB）等关键端口
特殊情况下的绑定例外说明
仅在以下两个条件同时满足时，才可评估是否启用NIC Teaming：
- 硬件平台来自Dell/HPE/Lenovo等主流厂商，且明确声明支持Windows Server 2019/2022的域控NIC Teaming（需查阅对应型号的兼容性列表）
- 已部署专用硬件负载均衡器或SDN控制器，能保障ARP、ICMP、DHCP中继等底层行为完全可控
即便如此，也必须关闭Teaming中的LACP、802.3ad等动态协商协议，仅启用“静态链路聚合”或“适配器故障转移”模式，并全程监控dcdiag /test:connectivity与repadmin /showrepl输出。
