DHCP协议实战指南：从地址池配置到故障排查全解析

你新入职一家公司，网管给你一台电脑让你自己配好网络。你打开网络设置，发现同事帮你设的是“自动获取IP地址”，插上网线，不出三秒，网络通了。整个过程你什么都没干，但这背后其实是整个局域网里最勤劳、最默默无闻的协议在工作——DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）。

干网络这行越久，越会有一个体会：越是基础的东西，出问题的时候越致命。DHCP就是典型代表。平时它不声不响，一旦它挂了，整个办公室的电脑、手机、打印机、摄像头全部“断网”——但其实网络物理链路是通的，交换机端口都是亮的，路由器也正常，就是设备拿不到IP。这种故障，不懂DHCP的人会一头雾水，懂DHCP的人五分钟定位。

这篇文章不打算堆教科书概念，而是从实战角度把DHCP这个协议讲透。你会了解到DHCP的工作流程、地址池和租约的核心原理、跨网段怎么用DHCP Relay、以及那些在网上被问爆的实操问题到底怎么处理，比如dhclient already running报错、锐捷交换机怎么释放地址、华三路由器怎么给VLAN配DHCP、光猫和路由器到底谁来做DHCP。内容覆盖从原理到配置到排障的完整链路，新手能看懂，老手也能查漏补缺。

1. DHCP到底在解决什么问题：网络地址分配这件事的前世今生

1.1 为什么网络里必须有一套IP自动分配机制

在DHCP出现之前，网络管理员给电脑配IP是纯手工活。每台电脑要填IP地址、子网掩码、默认网关、DNS服务器，四个字段一个都不能错。IP填错了，跟别人冲突了，网络就上不去，而且排查起来特别痛苦。几十台电脑的小型办公室还能忍，到了几百上千台终端的企业网络，手工配置IP基本就是灾难。

更要命的是，手工配置天然存在几个无法回避的问题。第一是IP冲突，两台电脑设置成同一个IP，后开机的那个会把先开机的踢下线，两个人都上不了网，谁都不承认是自己改的。第二是地址利用率低，给一个人分配了一个固定IP，这个人今天不在，这个IP就白白空着，别人也用不了。第三是移动性差，笔记本从二楼挪到三楼，可能就要换一个网段的IP，难道每次都叫网管来改吗？

DHCP把所有这些问题一次性解决了。它的设计思路非常朴素：网络里放一台“地址管理员”，新设备接入网络后主动向管理员申请IP，管理员从地址池里挑一个没人用的分给设备，同时附带上子网掩码、网关、DNS这些配套参数。设备不用了就释放地址，管理员回收后可以再分给别人。所有终端零配置，插上网线自动就能上网。

这个“自动分配、用完回收、动态复用”的机制，让局域网的管理难度降了一个数量级。今天你看到一个几百人的公司，网管可能只有一两个人，还能正常运转，靠的就是DHCP在前面扛着。

1.2 DHCP的工作方式：四步握手，三秒上网

DHCP的工作原理，说透了就是四个报文的交互过程，行内人喜欢叫它DORA过程。这个缩写特别好记：Discover（发现）、Offer（提供）、Request（请求）、Acknowledge（确认）。

第一步，客户端刚接入网络时，自己身上是没有IP的。它会向全网发送一个Discover广播包，相当于在楼道里喊了一嗓子：“我是新来的，谁管分IP？给我分一个！”这个广播包会送到局域网里的每一台设备，但只有配置了DHCP服务的设备（可能是路由器、交换机，也可能是一台服务器）才会搭理它。

第二步，DHCP服务器收到Discover后，会从自己配置好的地址池里挑一个还没被占用的IP，连同子网掩码、网关、DNS等参数，打包成一个Offer报文，单播或者广播回给客户端。注意Offer是“主动提供”，不是“正式分配”，客户端不一定非要接受这个Offer。

第三步，客户端收到Offer后，会再发一个Request广播报文，相当于说“行，就这个IP了，我确定要这个”。之所以还是广播，是因为网里可能有多个DHCP服务器（比如配了两台做冗余），客户端要用广播通知所有服务器，告诉大家“我已经选了A服务器给我的IP，你们另外几个Offer我不用了，可以分给别人”。

第四步，DHCP服务器收到Request后，正式把IP和租约信息记录在案，回复一个Acknowledge报文，告诉客户端“OK，这个IP给你用，租期是8小时，到期前记得续租”。客户端收到Ack，配置生效，整个流程完成，前后不到一秒钟。

整个过程走完，就是你插上网线后看到的那个画面：右下角网络图标转两圈，然后“已连接”。看起来简单，实际背后是两台设备之间非常严谨的协商过程。理解了DORA，后面再看各种DHCP排查案例，思路会清晰很多。

另外有个细节值得注意：DHCP默认用的是UDP协议，客户端源端口68，服务器端口67。排障的时候你抓包过滤语法一般是udp.port == 67 or udp.port == 68，看到这四步报文齐全，说明流程是通的；缺了哪一步，问题就出在哪一步。

2. 动手配置前必须搞懂的细节：地址池、租约和那些关联概念

2.1 有了静态IP，还需要DHCP吗

网上有个热搜问题：如果网络里全是静态IP，还需要DHCP吗？答案很明确：不需要，但现实中几乎不会有人这么干。

静态IP适合的是服务器、网络打印机、摄像头这类需要固定地址被访问的设备。你有一台OA服务器，IP地址必须固定成192.168.1.10，因为其他电脑要在浏览器里输入这个地址来访问它。如果让DHCP动态分配，万一一次重启后IP变了，所有人就都打不开了。

但是终端设备（电脑、手机）完全没这个需求。它们只需要“能上网”，IP是什么根本无所谓。所以现代网络的标准做法是：终端走DHCP自动获取，服务器和网络设备用静态IP，两种方式并存，各司其职。

这里有个容易踩的坑：为了让服务器既固定IP又方便管理，很多人会去DHCP服务器上做“IP-MAC绑定”（也叫静态绑定、DHCP Reservation）。意思就是告诉DHCP服务器，某个MAC地址的设备来了，永远把这个固定的IP分给它。这本质上还是DHCP在工作，只是分配规则从“动态挑一个”变成了“指定给一个”。好处是IP还是由DHCP统一管理，不会出现静态IP和DHCP地址池互相冲突的问题。

所以正确的理解不是“静态IP和DHCP二选一”，而是“用DHCP做统一管理，对需要固定地址的设备通过绑定来实现固定”。这样整个网络的IP分配逻辑都收口在一台设备上，排查问题只看一个地方就行。

2.2 IP、子网掩码、网关、DNS、VLAN、DHCP、路由、端口到底是什么关系

热搜词里有一串“IP、子网掩码、网关、VLAN、DHCP、DNS、路由、端口”，看着像是网络新人最常问的一串概念。这里不展开讲每一个，只讲它们和DHCP的关系，因为这才是重点。

DHCP分配出去的每一份“网络配置”，本质上就是一份地址清单，通常包含四样：IP地址、子网掩码、默认网关、DNS服务器。这四个参数，少了任何一个，终端都可能上不了网。

IP地址是终端的门牌号，子网掩码用来划分“哪些门牌号是同一个院子里的”，网关是“出院子的大门”，DNS是“帮你把域名翻译成IP的通讯录”。VLAN则是在交换机上把同一个物理局域网切成多个逻辑局域网，每一个VLAN通常对应一个独立的网段，也就需要一个独立的DHCP地址池。端口是传输层的概念，服务端通过端口区分不同的服务，比如DHCP用的就是UDP 67/68。

把这几个概念串起来看，一个典型的场景是这样的：办公室的电脑插上线，交换机端口属于VLAN 10，VLAN 10的IP网段是192.168.10.0/24，DHCP服务器在这个网段的地址池是192.168.10.100到192.168.10.200。电脑通过DHCP拿到一个地址后，发往其他网段的数据包会先送给网关192.168.10.1，再由路由器转发出去。DHCP要做的，就是把这套完整配置一次性交给终端，让终端不需要人工参与就能入网。

2.3 自动分配、手动绑定、DHCP Relay：三种模式的选择逻辑

DHCP协议本身支持三种分配模式，理解它们的区别，配置设备时才知道选哪个。

第一种是动态分配（Dynamic Allocation），也是最常用的模式。地址池里的IP可以反复分配，设备释放后回收再利用。适合终端设备多、流动性大的场景，比如办公电脑、员工手机。

第二种是自动分配（Automatic Allocation）。服务器第一次给设备分配IP后，这次分配关系会被永久记录，设备再来时还是会拿到同一个IP。这种模式比动态分配少了一步“释放后再分配”的灵活性，但好处是同一台设备每次拿到的IP不变。本质上和静态绑定的效果类似，但实现机制不同，现在已经用得比较少了。

第三种是静态分配（Static Allocation），也就是前面说的IP-MAC绑定。管理员手动把某个MAC地址和IP地址的对应关系配置到DHCP服务器上。服务器发现这个MAC来请求时，直接分配指定的IP。

实际选型的时候，我的建议是：普通终端全部走动态分配，省心省力；服务器、打印机、门禁控制器这类需要稳定访问地址的设备，用静态绑定，不要直接配静态IP。理由前面也说了，IP统一由DHCP管理，不会冲突，排查也方便。

DHCP Relay则完全是另一种场景，解决的是跨网段分配的问题。DHCP Discover报文是广播包，广播不能跨路由传播。如果你的网络有十几个VLAN，每个VLAN一个网段，每个网段都单独配一台DHCP服务器，显然不现实。Relay的作用是：在终端所在网段的网关设备（通常是三层交换机或路由器）上开启DHCP Relay功能，把客户端的广播Discover包转成单播，转发给中心机房的DHCP服务器，再把服务器的Offer转回来。这样就实现了用一台DHCP服务器管理整个企业所有网段的地址分配。

3. 核心实操场景：从家用光猫到企业交换机怎么配DHCP

3.1 家用场景：路由器的WiFi怎么由光猫来做DHCP

先聊一个大家最容易遇到的家用场景，也是热搜里被高频搜索的问题：路由器的WiFi能不能由光猫来做DHCP，怎么弄。

先说结论：可以，而且有时候是必需的。这取决于你的光猫是工作在路由模式还是桥接模式。如果光猫工作在路由模式（光猫自己拨号、自己分配IP），而你又在后面接了一个无线路由器专门发WiFi信号，那最好的做法其实是让光猫做DHCP，无线路由器关掉DHCP，只当一个无线交换机用。理由很简单：光猫已经在做路由了，路由器如果再开DHCP，两个DHCP服务器同时存在于一个二层网络，设备拿到的IP可能一会是192.168.1.x（光猫网段），一会是192.168.31.x（路由器网段），Internet上不去，而且很难排查。

具体操作分三步。第一步，登录光猫的管理页面（一般是192.168.1.1，超级管理员账号可能需要联系装维师傅获取），确认DHCP服务是开启状态，地址池设置合理。第二步，登录无线路由器的管理页面，找到“DHCP服务器”设置，把开关关掉。第三步，把无线路由器的WAN口和光猫的LAN口之间的网线改成“光猫LAN口接路由器LAN口”，也就是说路由器当作纯AP用，所有数据都走光猫的DHCP分配。

这样改完，整个家庭网络只有一个DHCP分配者，IP不冲突，WiFi漫游也稳定，手机在任何角落都能正常上网。如果以后想恢复路由器的独立路由功能，把DHCP重新打开、网线改回WAN口就行。

3.2 华三路由器VLAN配置DHCP：一段可以直接抄的配置

企业网络里用得最多的还是思科、华为、华三这三家的设备。热搜里提到了华三路由器VLAN配置DHCP，这里给出一套在实际项目里可以落地的配置思路，以H3C的V7版本为例。

场景假设：你有一台MSR系列路由器，需要给两个VLAN分配IP。VLAN 10对应办公网段192.168.10.0/24，VLAN 20对应访客网段192.168.20.0/24。DHCP地址池分别规划为192.168.10.100-200和192.168.20.100-200。

需要在系统视图下做的配置，核心思路是三步：创建VLAN接口并配IP、启用DHCP服务、创建地址池并关联网段和网关。

bash复制system-view
# 创建VLAN并配置接口IP
vlan 10
quit
interface vlan-interface 10
ip address 192.168.10.1 255.255.255.0
quit
vlan 20
quit
interface vlan-interface 20
ip address 192.168.20.1 255.255.255.0
quit

# 全局启用DHCP服务
dhcp enable

# 配置地址池，global地址池模式下，网关就是接口IP
dhcp server ip-pool vlan10
network 192.168.10.0 mask 255.255.255.0
gateway-list 192.168.10.1
dns-list 114.114.114.114 223.5.5.5
address range 192.168.10.100 192.168.10.200
expired day 1 hour 0 minute 0
quit

dhcp server ip-pool vlan20
network 192.168.20.0 mask 255.255.255.0
gateway-list 192.168.20.1
dns-list 114.114.114.114 223.5.5.5
address range 192.168.20.100 192.168.20.200
expired day 1 hour 0 minute 0
quit

这里我用了global地址池模式，也就是全局创建地址池，然后通过network字段匹配接口网段。还有一种方式是interface模式，直接在VLAN接口下创建地址池，两种方式效果类似，项目上我更习惯global模式，因为配置集中在一个逻辑区域里，后续改起来方便。

配置完成后在用户视图下用display dhcp server ip-pool查看地址池状态，用display ip pool看当前分配情况。如果电脑接在交换机上拿不到IP，先看这个VLAN接口的IP有没有通，再确认交换机连接电脑的端口有没有加进对应VLAN，这是最常见的两头问题。

3.3 锐捷交换机DHCP配置与地址释放命令

锐捷交换机在企业网里也占有相当大的份额，尤其是接入层。它配置DHCP的思路和华三基本一致，区别主要在命令风格上。

在锐捷交换机上启用DHCP和配地址池，典型配置长这样：

bash复制enable
configure terminal

service dhcp
ip dhcp pool vlan10
network 192.168.10.0 255.255.255.0
default-router 192.168.10.1
dns-server 114.114.114.114 223.5.5.5
lease 1 0 0
exit

# 如果是三层交换机，需要确保VLAN接口有IP
interface vlan 10
ip address 192.168.10.1 255.255.255.0

锐捷的lease命令格式是lease 天 时 分，跟H3C略有差别，写配置的时候注意别搞混。

热搜里有个很具体的词“锐捷交换机dhcp释放地址命令”，这其实问的是两个层面的事。一是管理员视角：主动清除某个IP或者某个客户端的动态绑定，让这个租约立即失效。命令是clear ip dhcp binding *（清除所有动态绑定），或者clear ip dhcp binding 192.168.10.100（清除指定IP）。清除之后，如果客户端还在线，它不会立刻断网，而是要等续租或者重新请求时才生效。

二是终端视角：有时候电脑网络有问题，需要在终端上释放DHCP获取的IP，再重新获取。Windows系统里就是以管理员身份运行命令提示符，执行ipconfig /release释放，然后ipconfig /renew重新获取。Linux系统里则是先dhclient -r释放，再dhclient获取。

这里有一个网上经常看到的报错，也是热搜词里出现频率很高的一句提示：dhclient (PID) is already running - exiting. This version of ISC DHCP is based on...。这句话的意思是系统里已经有一个dhclient进程在运行了，你又手动执行了一次dhclient，新进程检测到旧的还在，就直接退出了。这个报错在Linux上非常常见，原因多半是你手动在命令行里敲了dhclient，但NetworkManager或者systemd-networkd已经自动启动了一个实例。解决办法很简单：先执行ps aux | grep dhclient找到PID，然后kill掉老进程，再重新执行dhclient。或者如果系统有NetworkManager托管网络，就不要手动跑dhclient，直接在NetworkManager里重启连接更省事，命令是nmcli connection reload && nmcli connection up "连接名"。

4. 跨网段分配：DHCP Relay的部署要点

4.1 Relay解决什么问题：为什么不能跨网段广播

把DHCP做到企业级，一定会碰到一个绕不开的场景：VLAN多、网段多，但不希望每个网段配一台DHCP服务器。于是就有了DHCP Relay（中继，也叫IP Helper）。

核心问题在于DHCP客户端在初始阶段发出的Discover是二层广播报文，广播的传播范围限定在同一个广播域（通常是同一个VLAN）内。三层设备不会转发广播包，所以客户端无法直接请求到其他网段的DHCP服务器。

DHCP Relay就是解决这个问题的。管理员在终端所在网段的网关设备上开启Relay功能，设备一旦收到客户端的Discover广播，会把它改写成单播报文，封装好源地址（网关地址）和目的地址（DHCP服务器地址），发给服务器。服务器回复Offer时，也是发给网关设备，网关再转成广播或单播回给客户端。对于DHCP服务器来说，它只需要根据报文里携带的“giaddr”（网关地址）字段，就能判断客户端属于哪个网段，从而从对应网段的地址池里挑IP。

网上热搜里提到“dhcp relay server地址为:192.168.0.50-51”，这看起来是两个DHCP服务器地址，实际上很可能是两个Relay目标地址，用于冗余备份。当主服务器故障时，Relay会自动把请求转发给备用服务器，保证了DHCP服务的可用性。

4.2 Relay部署的核心配置和地址规划注意点

在华三和华为设备上，开启DHCP Relay的配置非常简单。以华三为例，在VLAN接口下配置两条命令就够了：

bash复制interface vlan-interface 10
dhcp select relay
dhcp relay server-address 192.168.0.50
dhcp relay server-address 192.168.0.51

三条命令的含义分别是：该接口启用Relay模式、指定主DHCP服务器、指定备用DHCP服务器。在华为设备上，命令变成了dhcp select relay加ip helper-address 192.168.0.50，同样是两条命令的事。

但配置简单不代表部署简单。Relay模式下的地址规划有几个细节非常容易出事，这里必须单独拿出来讲。

第一，DHCP服务器的地址池必须覆盖所有需要分配IP的网段。服务器收到Relay过来的请求后，就是靠giaddr字段来决定从哪个池子里分配的。如果服务器上没有配置对应网段地址池，或者地址池的网段写错了，终端必然拿不到IP。

第二，地址池里的排除地址一定要排干净。特别是网关、VLAN接口地址、打印机、服务器这些静态IP，都要在地址池里通过exclude排除掉，否则DHCP会把网关地址分配出去，造成整个网段“看起来通了但就是上不了网”的诡异故障。

第三，多台DHCP服务器做冗余时，地址池必须是同一套规划，且最好把租约时间设置的短一些，比如2小时或4小时。原因很简单：如果主服务器挂掉期间，备服务器分出去了几个IP，等主服务器恢复后，两边分配记录不一致，就可能出现IP冲突。租约短，意味着这个冲突窗口能更快被自动纠正。

第四，Relay和DHCP服务器之间的网络要保证三层可达，而且建议用独立的服务器网段，不要和办公网段混在一起。服务器网段是基础设施，被终端泛洪的广播影响减到最小，DHCP服务的稳定性会明显更好。

4.3 实测思路：怎么确认Relay转发是通的

部署完Relay，最好第一时间验证一下转发链路是否正常。我的习惯是三步走。

第一步，在客户端上执行ipconfig /release然后ipconfig /renew（Windows），或者dhclient -r加dhclient（Linux），看能不能正常拿到IP。如果拿到的是DHCP服务器地址池里规划的网段地址，说明Relay转发是通的。

第二步，如果拿不到IP，在网关设备上执行display dhcp relay statistics（华三）或者display ip helper-address statistics（华为），看报文转发计数有没有增长。如果计数一直在涨但客户端拿不到IP，问题多半出在DHCP服务器端，检查地址池和防火墙策略。

第三步，在DHCP服务器上抓包，过滤条件就用udp.port == 67 or udp.port == 68，重点看有没有从Relay设备地址发来的Discover报文。如果服务器收到了Discover但没回应Offer，几乎可以断定是地址池配置问题；如果连Discover都没收到，那问题在Relay到服务器的链路，检查路由和防火墙放行状态。

这三步走完，Relay链路上99%的问题都能定位出来。剩下的1%，基本就是服务器侧的地址池被写满，或者服务器时间不同步导致租约异常，这些属于后续要讲的排查范畴。

5. 高频报错与故障排查：实战中的那些坑

5.1 dhclient is already running：Linux下最常见的DHCP假报错

热搜词里那句“dhclient(10109) is already running - exiting. This version of ISC DHCP is based on...”，几乎是每个Linux运维都见过的老朋友。

这句报错的本质是锁机制。dhclient启动时会在系统的运行目录里创建一个PID文件（通常是/var/run/dhclient.pid），记录当前进程的PID。如果你再次执行dhclient，新的进程会先检查这个文件，发现已经有一个dhclient在运行，就会直接退出，并把提示打到终端上。

这个报错出现的场景五花八门，但归纳起来就三种。第一种是你刚手动执行了dhclient，又重复执行了一次。第二种是NetworkManager或者systemd-networkd已经在后台管理网络了，你再手动跑dhclient就会撞车。第三种是系统重启过程中，NetworkManager先启动了一个dhclient实例，然后你又手动执行了一次。

处理办法，按优先级排列有两种。如果系统是用NetworkManager管网络的，最规范的做法是把网卡交给NetworkManager统一管理，不要手动跑dhclient，直接在NetworkManager里重连：

bash复制nmcli connection reload
nmcli connection up "Wired connection 1"

如果系统是纯命令行用dhclient管网络的，那就要手动把老进程干掉再重新获取：

bash复制ps aux | grep dhclient
kill -9 老进程PID
dhclient 网卡名

这里有个小技巧：如果你不确定是哪个网卡出了问题，先执行ip link show或者ip addr看看网卡的状态。有的网卡是物理接口名字比较特殊（比如ens33、eth0），有的是虚拟接口（比如virbr0），选对名字再操作，别在错误的接口上浪费精力。

5.2 DHCP Server Ping Packet 2：为什么分配地址前要Ping

这个热搜词来自华为设备上的一个DHCP参数：dhcp server ping packet 2。意思是DHCP服务器在给客户端分配IP之前，先发出2个ICMP Echo报文（也就是ping包）去探测这个IP地址当前在网络上是否有人在使用。如果收到回应，说明这个IP已经被占用了，服务器会跳过这个IP再试下一个；如果没有回应，就放心把这个IP分配出去。

这个机制看起来有点笨，但非常实用。它能有效避免一个经典故障：某个设备配了静态IP，但这个IP又在DHCP地址池范围内。此时如果有DHCP客户端请求IP，服务器可能把这个静态IP分配出去，于是两台设备发生IP冲突，全网报错。

华为的dhcp server ping packet命令格式是dhcp server ping packet 次数（范围0-10，默认是2）。如果设置为0，就关闭了这个探测功能，分配速度会快一点点，但IP冲突的风险会变大。我的建议是不要关闭这个功能，尤其是终端数量多、静态IP管理不规范的网络里。那多出来的1-2毫秒延迟，在稳定性面前不值一提。

锐捷和H3C设备也有类似机制，只是命令名不同，功能都是同一回事。在实际项目里，如果网络中出现频繁的IP冲突告警，检查DHCP服务器有没有开启这个探测功能，往往是第一步。

5.3 DHCP检测工具：排查不用抓包的效率神器

排障的时候，抓包虽然最准确，但门槛高、耗时久。更好用的方式是用专门的DHCP检测工具，整体扫描网段内所有地址的分配情况，快速发现IP冲突、地址耗尽、非法DHCP服务器等问题。

常见的工具里，有一个命令行的扫描工具常被用来枚举网段内所有DHCP服务器的响应，其他类似工具还有SoftPerfect Network Scanner、Angry IP Scanner，它们可以快速扫描一个网段的在线设备、Ping响应、MAC地址和主机名，和DHCP服务器的绑定表对照看。企业级运维更常用的还有Opsview、PRTG、Zabbix这类监控平台，可以通过SNMP拉取网络设备的DHCP绑定表，做持续监控和告警。

对于没有正版商用工具预算的中小企业，我的建议是两板斧。第一板斧是Nmap，虽然它是端口扫描工具，但加上--script dhcp-discover参数可以对目标网段发起DHCP发现请求，快速确认网络里有几台DHCP服务器在响应。这个脚本在排查“非法DHCP服务器”时非常好用，比如用户私自接了一台家用路由器到公司网络，导致部分电脑拿到错误网段的IP上不了网，用这个脚本一查就现原形。

第二板斧是Wireshark，它虽然不是专门的DHCP工具，但带了一个非常实用的DHCP过滤器，可以只显示DHCP报文。在感染了非法DHCP的网段上，抓包看到某个不该出现的服务器MAC持续回复Offer，问题就定位了。

5.4 DHCP故障排查速查表：从现象到根因的对照

结合我实际处理过的项目，整理了一份DHCP故障排查速查表。遇到问题先对照现象查表，大概率能省下不少时间。

这张表覆盖了我这些年遇到的大部分DHCP问题。每次排障，我都会先问自己三个问题：客户端在哪一步断了？DHCP服务器的地址池状态正常吗？整个网络里DHCP协议的来源是不是只有我预期的那一个？三个问题想清楚，问题基本就解决了一半。

这里有句真心话：遇到DHCP故障，别急着重装系统、重启路由器，先抓包看一眼DORA四步走到哪了。抓包数据不会骗人，比靠感觉排查靠谱太多了。

5.5 一个实战排查案例：公司网络三天两头抽风

讲一个我印象很深的案例，能帮你把前面所有知识点串起来。某公司反馈“网络三天两头抽风，有时候正常，有时候很多人同时上不了网”，而且都是在上午十点左右集中爆发。

第一次去现场，我先看了核心交换机的DHCP地址池统计，发现租约数量很正常，没到耗尽的地步。再一看客户端的IP地址，发现问题了：一半人拿的是公司规划网段的IP（192.168.10.x），另一半人拿的是192.168.31.x。这个网段根本不是公司规划的。

我第一反应就是非法DHCP服务器。用工具扫了一遍网段，发现确实有一台设备在响应DHCP请求，就是这个192.168.31.x网段的。顺藤摸瓜查交换机MAC表，定位到是某个业务部门私自接了一台家用无线路由器在办公室里，路由器自己又开了DHCP，导致一部分终端从它那里拿到了错误的IP和网关，自然上不了网。

处理非常快：把那个无线路由器的工作模式从路由模式改成AP模式，关掉它的DHCP，所有终端重新获取IP，网络立刻恢复正常。这次排障从头到尾不到半小时，靠的就是对DHCP机制的理解和工具的合理使用。

这种案例在中小企业太常见了。网管部门管得住核心机房的设备，但管不住员工在自己的工位底下悄悄接路由器。所以DHCP的监控和检测工具，在这类场景下价值巨大——你不需要一个个办公位去翻，扫描一下网段，非法设备分分钟暴露。

6. 光猫、路由器与DHCP：家庭网络里最容易被忽略的地址冲突

6.1 光猫拨号路由和路由器DHCP到底谁说了算

把视角从企业切回家里，你会发现DHCP同样是家庭WiFi是否稳定的关键。很多人家里网络慢、偶尔断线、设备连不上WiFi，排查到最后，路由器没坏、宽带没问题，就是两台设备在“抢DHCP”。

现在的家庭组网大多数是“光猫+无线路由器”的组合。光猫负责光纤接入，无线路由器负责WiFi和有线分发。问题的关键在于：光猫本身通常也带路由和DHCP功能。如果光猫处在路由模式，它自己和下面的无线路由器都在开DHCP，手机连上WiFi后可能随机从任意一台设备获取IP，而网关、DNS都跟着变，但一条物理链路只有一条默认路由能上网，设备拿错配置自然上不了网。

所以回到那个热搜问题：“路由器的wifi怎么由光猫来做dhcp”。操作并不复杂，核心思路是让光猫当唯一的DHCP服务器，无线路由器退居二线做无线交换机。上面已经写过具体步骤，这里补充一个判断技巧：登录光猫管理页面，看“网络-宽带设置”里的连接类型是“路由模式（PPPoE拨号）”还是“桥接模式（Bridge）”。如果是路由模式，就按上面说的方法处理；如果是桥接模式，说明光猫不负责拨号和DHCP，那么无线路由器必须开启DHCP，负责整个内网的地址分配。这两种模式对应的DHCP策略完全相反，搞错了家里就上不了网。

6.2 家庭DHCP优化的几个实用建议

家庭网络里DHCP的优化，有很多小技巧，是装维师傅不会告诉你的。

第一个建议是租约时间不要太长。家里设备是流动性很强的，手机、笔记本、智能电视，今天在家明天出门，IP租约如果设置成7天，家里设备多的时候，地址池很快会被占满，新设备就连不上WiFi了。把租约时间改成2小时或者12小时，地址池的周转效率会高很多。

第二个建议是尽量把光猫和路由器的网段错开。比如光猫用192.168.1.1，无线路由器就改成192.168.31.1或者192.168.50.1。这样做的好处是，就算两台设备的DHCP冲突了，出错时也比较容易判断拿到的是谁的IP。如果你连光猫管理页面的权限都没有，这个技巧可以帮你快速定位问题来源。

第三个建议是智能家居设备多的话，给它们做IP-MAC绑定。智能音箱、智能门锁、窗帘电机这类设备，如果每次拿到的IP都不一样，后面的局域网联动可能会出问题（比如设备离线后重连IP变了，自动化场景里配置的地址对不上了）。在路由器后台找到“静态地址分配”功能，给这些设备固定IP，长期使用会省心很多。

第四个建议是改了光猫或路由器的DHCP配置之后，一定要把终端设备的旧IP租约清掉。手机和电脑不会立刻感知到DHCP配置变化，它们会继续使用旧配置直到租约到期。改完了之后，把所有设备重启一遍，或者手动开关一次WiFi，让它们重新走一遍DORA过程，新配置才能生效。

7. 写在最后：DHCP这个老朋友，值得你花时间深耕

如果要我总结这些年跟DHCP打交道的经验，最核心的一句话是：DHCP不是“网络通了就不用管”的静态服务，而是一个需要持续关注、主动维护的动态过程。很多网络故障，表面上看起来是“上不了网”，往下追三层，最后都是DHCP的锅。

我个人特别建议每一个做网络运维的朋友，都花点时间把DHCP协议吃透。不只是会配置，而是要对DORA的过程烂熟于心，对地址池、租约、Relay、冲突避免这些机制有直觉般的理解。这东西不像BGP、MPLS那么高深，但它就像地基，地基不稳，上面盖什么楼都白搭。

最后再分享一个小技巧，是我排查DHCP问题时养成的一个习惯：在任何一台DHCP故障的设备上，先看它当前拿到的IP、子网掩码、网关、DNS四项配置，确认这些值是不是“合理的”。如果不合理，那问题一定出在“配置源头”上——是地址池配置错了、还是DHCP服务器选错了、还是存在非法DHCP。把源头找出来修好，比反复重启设备和刷新IP有用得多。DHCP的世界里，大多数问题都不是故障本身难，而是源头藏得深。但只要理解了DORA和地址池，你就能顺着一条清晰的链路，一路找到根。