Em teoria, não, você não precisa ter DC nos dois sites.
Se você tiver um servidor DNS no site secundário (ou seus clientes estão apontando para o servidor DNS no site primário) com os registros srv do controlador de domínio no site primário e seus clientes puderem acessar os controladores de domínio, você não precisa de outro no local.
Mas a recomendação é que você o tenha, porque o serviço VPN pode ficar inativo e há uma questão de velocidade para os clientes no site secundário, especialmente se você não tiver um servidor DNS no site secundário. / p>
Quando um cliente do Active Directory (computador ou usuário) está tentando fazer logon no domínio ou em algum serviço de domínio, ele procura por controladores de domínio perguntando ao servidor DNS que ele listou em seu sistema (configurações da placa NIC) para endereços de controladores de domínio (são registros srv que não são registros regulares de host A), portanto, todos os seus clientes no site secundário precisam ter o servidor DNS configurado em suas placas NIC com esses registros, o que significa que se a VPN for desativada e seus clientes todos estão olhando para DNS no local principal, sua resolução de DNS vai cair para todos eles (eles não serão capazes de navegar na Internet e similares), então seria definitivamente recomendado que você tenha pelo menos um servidor DNS habilitado para Active Directory em o site secundário.