windows server域控制器性能调优核心是精准干预lsass内存行为、存储io路径、站点拓扑、网络协议栈四大环节，强调物理隔离与参数匹配：ntds.dit、日志、sysvol必须分卷且角色明确；lsass内存应不低于ntds.dit大小，需禁用内存压缩/hvci、添加defender排除、配置dsa heuristics；站点须ipv4/ipv6双栈同步定义；写缓存仅限断电保护阵列启用；分页文件设为内存1.5倍固定大小。
windows server 域控制器性能调优不是靠堆硬件或开一堆服务，而是围绕lsass 内存行为、存储io路径、站点拓扑结构、网络协议栈四个核心环节做精准干预。关键不在于“全开”，而在于“隔离”与“匹配”——数据库与日志物理分离、ipv4/ipv6 站点同步定义、写缓存仅在断电保护阵列启用、分页文件大小与内存严格绑定。
LSASS 内存与数据库缓存优化
LSASS 进程承载 AD 核心服务（Kerberos、NTDS、NetLogon），其内存使用天然高于 ntds.dit 文件大小。若 LSASS 占用内存远低于数据库体积（如 32GB ntds.dit 对应 LSASS 仅 12GB），说明 ESE 缓存未充分加载，需检查：
- 确保系统未启用“内存压缩”或“内存完整性（HVCI）”，这两项会限制 LSASS 大页分配
- 禁用 Windows Defender 实时扫描对 C:\Windows\NTDS 和 C:\Windows\SYSVOL 的监控（添加排除路径）
- 确认注册表项 HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Heuristics 值为 0000000001000000（启用 ESE 版本存储自动收缩）
AD 专用存储的物理隔离策略
ntds.dit、日志、SYSVOL 必须分卷，且每卷承担明确角色：
- ntds.dit 卷：仅放 NTDS 数据库文件，使用 NVMe SSD，格式化为 4KB 分配单元，预留空间 ≥ 物理内存 × 1.5（例：64GB 内存 → 至少 96GB 专用卷）
- 日志卷（edb.log）：独占低延迟 SATA/NVMe SSD，不可 RAID 5/6；大小 = 峰值每小时事务数 × 2 小时，下限 4GB；禁用索引、关闭上次访问时间更新（fsutil behavior set disablelastaccess 1）
- SYSVOL 卷：启用卷影副本（VSS），格式化为 64KB 分配单元，便于 DFS-R 异常时 5 秒内回滚；避免与域控制器系统盘共用
站点与网络协议栈协同调优
客户端登录慢、LDAP 查询超时，80% 源于站点定义失配，尤其 IPv6 启用后：
- 必须为每个子网同时配置 IPv4 和 IPv6 站点链接，不能只配 IPv4；DNS 反向解析记录（PTR）需双向准确（v4/v6 均指向同一站点）
- 禁用 DC 上的 Netlogon 服务自动站点发现：运行 nltest /dsgetsite 验证当前归属，若返回错误或非预期站点，手动在 Sites and Services 中将该 DC 拖入正确站点
- 注册表中设置 HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\SiteName（REG_SZ）强制指定站点名，绕过 DNS 反查
底层 IO 与系统参数精调
避开通用“服务器优化脚本”，只动 AD 敏感项：
- 磁盘策略：设备管理器 → 存储控制器属性 → 策略 → 勾选“启用设备上的写入缓存”，再执行 fsutil behavior set disablelastaccess 1 和 fsutil behavior set disablelastwrite 1
- 队列深度：PowerShell 执行 Set-StorageSetting -NewDiskWriteCacheSizeDefault 0，防止系统误配写缓存大小
- 分页文件：禁用系统自动管理，在独立 SSD 卷上设为固定大小（物理内存 × 1.5），例如 64GB 内存 → 98304 MB（96GB），不跨卷、不分散
- TCP 参数：仅修改 TcpTimedWaitDelay=30（十进制）、MaxUserPort=61440，其余保持默认；AD 不依赖大窗口，盲目调 TCP 接收窗口反而增加 LSASS 线程等待
