核心是本地变更优先本地同步、跨地域只传必要更新；每个物理办公点建独立站点并绑定对应IPv4/IPv6子网，严禁多异地子网混入同一站点，需调高跨站链路成本（如800~1500）、分级设置复制间隔（15~180分钟），显式指定桥头服务器并启用复制压缩，最后用repadmin和Wireshark验证路径、时效与压缩效果。

核心是让本地变更优先在本地同步，跨地域流量只传必要更新，不挤占业务带宽。

站点与子网必须一一对应

每个物理办公点建一个独立站点（如“Site-深圳”“Site-成都”），再把该地点的IP子网（如10.20.30.0/24）明确绑定到对应站点。不能把多个异地子网塞进同一个站点，否则AD会误判为“局域网环境”，触发高频未压缩复制，直接打满WAN链路。

• 操作路径：AD Sites and Services → 右键“Subnets” → “New Subnet” → 输入网络ID和掩码 → 在“Site”下拉框选目标站点
• IPv6子网同样要配置，否则Win10/11客户端可能因反向DNS查找失败而随机选站，导致登录延迟或复制绕路

跨站点链路成本设高、复制间隔拉长

总部到分公司的链路，默认成本100会跟本地链路竞争，必须调高。成本值不是带宽倒数，而是策略权重——500表示“除非本地全挂，否则别走这条路”。

• 新建站点链接时（如“SZ-CG”），Cost设为800~1500；已有链接右键属性修改即可
• 复制间隔按场景分级：总部多DC间设15分钟；单DC远程分支设180分钟；Azure或MPLS链路设60分钟（低于此易触发KCC超时重建）
• 改完等15分钟让KCC自动重算拓扑，或立即执行 repadmin /kcc

桥头服务器要手动指定+启用压缩

每个站点默认由KCC推选桥头服务器，但小分支若只有一台DC，它会同时承担用户认证和跨站复制双重压力。应显式指定性能较好的DC为桥头，并强制开启复制压缩。

• 路径：AD Sites and Services → 展开站点 → Servers → 目标DC → NTDS Settings → 右键 → “Properties” → 勾选“Bridge all site links”仅当需全连通时启用
• 组策略启用复制压缩：Computer Config → Admin Templates → System → Net Logon → “Enable compression of replication data” → Enabled

验证是否真正生效

别只看连接对象是否存在，要查实际流量路径和延迟。

• 查当前复制路径：repadmin /showrepl /all 看“via”列是否指向你指定的桥头，而非直连远端DC
• 测同步时效：在分支DC改一个测试用户描述，repadmin /replsummary 查总部DC是否在设定间隔内收到
• 抓包确认压缩：用Wireshark过滤SMB协议，对比跨站复制包大小，压缩后通常减少35%以上