Pyrocar

NPS Best Practices

To effectively balance the load of either a large number of authorizations or a large volume of RADIUS authentication traffic (such as a large wireless implementation using certificate-based authentication), install NPS as a RADIUS server on all of your domain controllers.

собсна, ответ забыл :
MS ничего плохого не видит в развертывании роли NPS на контроллерах домена, и даже рекомендует это делать в случае большого трафика радиуса.