DHCP与DHCP中继：从原理、配置到排错实战全解析

刚入职那年，IT扔给我一台笔记本，说“插上网线就能上网”。我插上，五秒，能上网了。当时觉得这种事情本来就该这样。直到后来自己搭服务器、配交换机，才发现这五秒背后站着一整套协议——DHCP。再后来遇到公司十几个VLAN、几十台终端拿不到IP，才明白光会DHCP远远不够，还得懂DHCP中继。这篇文章我想把这两个东西串起来讲清楚：从协议本身为什么要这么设计，到中继解决的问题，再到Linux服务器和三层交换机的完整配置，最后把我这些年踩过的排错坑一并交代。不管你是刚学网络的、做桌面运维的，还是准备网络认证的，都可以把这篇当一份能直接落地的实操参考。

1. 从手动配置到DHCP：这协议到底解决了什么问题

1.1 手动配置IP时代的痛点

先回想一下没有DHCP的时候，一台设备想上网需要什么。你要手动填四个东西：IP地址、子网掩码、网关、DNS。IP地址是这台设备在网络里的门牌号，子网掩码是判断哪些门牌在同一个小区，网关是出小区的门卫，DNS是把你想访问的名字翻译成门牌号的名录。四个填错任何一个，轻则这台设备上不了网，重则跟别人冲突，把别人的网络也带崩。

一台设备还好，几十台还能忍，几百台就要命了。更麻烦的是移动场景：笔记本从三楼搬到五楼，换了一个网段，IP就得改一次。每次改配置都得上门、开终端、敲命令，运维的人天天跑断腿。这个痛点催生了自动分配IP的需求。DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）最早就是从BOOTP协议演进过来的，RFC 2131、2132是它的核心规范。它的目标很简单：让设备插上网线（或者连上Wi-Fi）之后，不用任何人工干预，自己就能拿到一套合法可用的网络参数，包括IP、掩码、网关、DNS，还有租约时间。

1.2 DORA四步握手：客户端没有IP，是怎么拿到IP的

DHCP最反直觉的地方是：客户端一开始连IP都没有，它是怎么发出请求的？答案是它用了一个特殊的身份：源IP是0.0.0.0，目标IP是255.255.255.255（广播）。这就好比一个刚搬进新小区的人，自己还没有门牌号，但可以站在楼下大喊“有没有人管分配的？”整栋楼都能听见。整个过程就是经典的DORA：

1. DCDiscover：客户端发广播，问“有没有DHCP服务器在？我需要一个IP”。
2. DHCPOffer：服务器收到后，在它的地址池里挑一个可用的IP，用广播回复“这个IP给你用，附带掩码、网关、DNS，以及租约时间”。
3. DHCPRequest：客户端收到Offer后，再广播一次“我决定用这个服务器给我的IP”。注意这里又是广播，不是单播。原因很简单：局域网里可能同时存在多台DHCP服务器，都发过Offer，客户端必须广播告诉所有人“我选了谁”，这样没被选中的服务器就能把预留的地址收回去重新进入可用池。
4. DHAck：被选中的服务器收到Request后，最终确认“这个IP正式归你”。

这个过程中，服务器发Offer时也是广播，因为客户端此时还没有IP，服务器不知道该怎么单播给它。整个流程跑完，一台设备就正式在网络上有了身份。后面续租时用的DHCPREQUEST就是单播到服务器了，因为此时客户端已经有IP，可以点对点说话。

1.3 租约不是永久给你，而是“暂住证”

DHCP分配的IP不是无限期的，这是很多人初学时会忽略的点。每个IP都配了一个租约时间。默认情况下，客户端在租约时间过去一半（T1，也就是50%）时，会主动向分配它的服务器发起单播续租，成功后租约重新计时；如果T1续租失败，它会一直用到87.5%（T2）的时间点，然后改成广播寻找任意一台DHCP服务器，尽量在租约到期前拿到新的可用地址。如果整个周期都失败，租约到期，客户端自动丢弃这个IP，回到无IP状态。

你可以把租约理解成暂住证。临时住半年，到期前一个月去续签，续不上就广播找别的管理员，再不行就搬出去。设计这套机制的核心目的是回收不用的IP。尤其是无线网络和会议室场景，设备来来去去，如果没有租约回收，地址池很快就会耗尽。后面配置部分我会专门讲租约时长怎么设，这里先记住一个原则：动态IP的本质是“复用”，不是“独占”。

1.4 服务器发地址前的“验伤”：ping packet 2为什么不能省

有段时间群里很多人搜“dhcp server ping packet 2”，其实这个配置项背后是一段很值得说的逻辑。DHCP服务器在从地址池里挑出一个IP之后，不会直接发给客户端，而是先往这个IP发几个ICMP探测包，确认没人用它，再发Offer。这个探测包的数量通常就是2个，所以你在配置里会看到类似“dhcp server ping packet 2”的字样。

为什么要做这步？因为地址池是静态维护的，服务器并不知道某个IP是不是已经被某台静态配置的设备占用了。假设你办公网里有人给打印机手动设了192.168.10.100，而DHCP地址池也恰好包含这个IP，那服务器如果直接把192.168.10.100发给另一台电脑，现场就会立马上演“IP冲突”大戏。所以服务器在分配之前先ping一下目标地址：有回应，说明有人占用，换下一个IP；没回应，才敢分配。这在ISC DHCP里由ping-check true和探测包数量控制，Windows的DHCP服务里叫“冲突检测尝试次数”，默认是0，生产环境建议至少开1到2次。

这个机制有个副作用：它会增加分配耗时，尤其是地址池快耗尽时，服务器要连续探测好几个IP才能找到一个没被占用的，客户端感觉就是“转圈圈转了好久”。但千万别图快把它关了。IP冲突导致的间歇性断网，比慢几秒钟难受得多。

2. DHCP中继：广播过不了三层，那跨网段怎么办

2.1 先搞懂一个问题：广播到底是怎么“死”在三层上的

二层交换机天然会把广播帧在所属VLAN内转发，所以同网段内的DHCP Discover可以畅通无阻。但路由器不是这样工作的。路由器连接两个网段，默认不会把收到的广播包转发到另一个网段，这是它最基本的职责：隔离广播域。如果广播可以随便穿过路由器，整个网络就会因为广播风暴瘫痪。

这就出现了矛盾。企业网络架构通常是二层接入、三层汇聚，业务按VLAN分网段。VLAN10、VLAN20、VLAN30各是一个独立网段，彼此之间相互隔离，只有三层设备能打通。DHCP广播只能在自己所在的VLAN里打转，那VLAN20、VLAN30