不可靠WAN环境下Active Directory复制可行性及替代方案咨询

一、AD复制可行性分析 #

完全可行，AD原生支持针对低带宽/周期性连通场景的复制配置，结合你方每周一次的低变更频率，适配性很好。关键配置要点：

• 划分AD站点与子网：将两个物理站点分别创建AD站点对象，关联对应子网，让AD自动识别站点边界
• 配置站点链接复制计划：在站点链接属性中设置仅每日连通时段执行复制，同时调大复制间隔（比如设为24小时），避免无效的复制尝试
• 禁用即时复制通知：关闭站点间的"更改通知"功能，防止WAN不稳定时频繁触发失败的复制请求
• 测试先行：用虚拟机搭建两个站点的DC环境，模拟周期性断网场景，验证复制任务是否能在连通时段正常完成，提前排查DNS解析、权限等基础问题

二、适合的AD替代模式 #

考虑到你方无AD/LDAP管理经验，且变更频率低，以下替代方案学习成本更低、维护更简单：

• 独立LDAP+定期同步脚本：每个站点部署OpenLDAP/FreeIPA实例，编写简单的shell/Python脚本，在每日连通时段同步用户、组、权限的变更（用ldapsearch导出主站点变更，再用ldapmodify导入到从站点），逻辑直观，运维成本远低于AD
• 本地权限配置+文件同步：若仅需基础访问控制（如共享文件夹、本地应用权限），直接用Windows本地用户组或Linux本地账号，配合rsync（Linux）或robocopy（Windows）定期同步权限配置文件，无需目录服务，零学习成本，但仅适合小型环境
• 云目录离线同步：采用Azure AD Connect或Okta本地代理，配置为每日一次的离线同步模式，利用云平台的可视化管理界面简化运维，只需确保同步时段站点能访问云服务
• 单向主从LDAP架构：指定一个站点的LDAP为主服务器（负责变更操作），另一个站点部署从服务器，配置每日单向同步，从服务器仅提供本地认证服务，架构轻量，故障影响范围小

内容的提问来源于stack exchange，提问作者JimmyNJ