分支机构站点优化的核心目标是就近身份验证、减少wan流量、提升响应速度并保障安全；需正确配置ad站点与子网映射、部署rodc、禁用site-less dns注册、启用branchcache。
在 windows 域环境中，分支机构站点优化的核心目标是：让客户端就近完成身份验证、减少广域网（wan）流量、提升响应速度，并保障安全性。关键不在于“堆设备”，而在于合理利用 ad 站点拓扑、dns 定位机制和现代角色组件（如 rodc、branchcache）协同工作。
正确配置 AD 站点与子网映射
AD 站点代表物理网络结构，不是逻辑分组。只有将分支机构的 IP 子网准确关联到对应站点，客户端才能优先联系本地域控制器。
- 在“Active Directory 站点和服务”中，为每个分支机构创建独立站点（例如 Site-Beijing-Branch）
- 将该站点关联到其实际使用的子网（如 192.168.10.0/24），不能遗漏或重叠
- 确保所有分支 DC（包括 RODC）都显式归属该站点，而非默认的 Default-First-Site-Name
- 站点链接应设置合理的成本值和复制间隔——中心站点与各分支之间成本设低（如 10），分支之间成本设高（如 100），避免跨分支复制
部署只读域控制器（RODC）替代可写 DC
分支机构通常缺乏物理安全与专职运维，部署可写 DC 风险高、管理难、复制负担重。RODC 是更优解。
- RODC 默认只在其所属站点注册 DNS SRV 记录，不会“冒充”其他站点的 DC，天然防止客户端误连远端
- 密码哈希默认不复制到 RODC（除本地管理员和 krbtgt），即使设备丢失，域凭据泄露风险大幅降低
- 复制为单向（仅从中心可写 DC 同步），节省上行带宽；中心无需监控分支出站复制状态
- 配合“密码复制策略”，可按需允许特定账户（如分支 IT 账户）的密码缓存在 RODC 上，兼顾登录可用性与安全性
禁用或严格管控无站点（Site-Less）DNS 注册
默认情况下，所有可写 DC 都会在 _ldap._tcp.dc._msdcs. 区域下注册无站点名称的 SRV 记录。这会导致分支客户端在本地 DC 不可用时，盲目尝试连接任意远程 DC，引发超时或失败。
- 对中心站点的可写 DC，通过组策略或注册表禁用 Site-Less 注册：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
新建 DWORD 值：DisableSiteNameRegistration = 1 - 仅保留少数高可用、低延迟、受监控的中心 DC 继续注册无站点记录（用于灾备兜底），其余全部关闭
- RODC 不受此影响——它默认就不注册 Site-Less 记录，行为更可控
启用 BranchCache 缓解文件访问延迟
当用户访问总部文件服务器资源时，BranchCache 可将常用内容缓存在本地，避免重复穿越 WAN 下载。
- 分支用户终端需运行 Windows 7 或更高版本；总部文件服务器需为 Windows Server 2008 R2 及以上
- 分支规模 ≤50 用户且单子网：启用分布式缓存模式，无需专用服务器，每台 Win7+ 工作站自动参与缓存共享
- 分支规模较大或多子网：部署托管缓存模式，在分支内指定一台 Windows Server 2008 R2+ 作为 BranchCache 服务器，统一管理缓存并支持跨子网
- 务必在总部文件服务器上启用 BranchCache 功能，并为共享文件夹开启“启用 BranchCache”选项
