华三交换机DHCP中继配置与排错实战指南

1. 为什么需要手动搭建DHCP中继：广播过不去的那道坎

很多刚开始接触园区网络的朋友都会遇到一个典型的场景：网络里划分了好几个VLAN，每个VLAN的终端都要自动获取IP地址。最直觉的做法是在核心交换机上创建多个地址池，让交换机自己给每个VLAN分配IP。这种方案在规模不大、DHCP请求量可控的环境下确实没问题，但一旦网络规模上来，或者出于安全合规要求必须把DHCP服务集中部署在独立的服务器上，问题就来了。

DHCP协议从设计之初依赖的是广播报文。客户端在启动时并不知道DHCP服务器的位置，只能通过发送目的地址为255.255.255.255的广播Discover报文来寻找服务器。而广播报文默认无法跨越三层接口，也就是说，如果DHCP服务器在VLAN 10，而终端在VLAN 20，即使两个VLAN之间路由完全打通，终端的Discover报文也会在VLAN 20的三层网关处被丢弃，永远到不了服务器。这就是广播域隔离带来的副作用。

华三交换机的DHCP中继（DHCP Relay）功能解决的正是这个问题。它让交换机在收到客户端的广播Discover报文后，不再简单丢弃，而是把报文中的giaddr字段改写为交换机的接口地址，然后将报文以单播形式转发给指定的DHCP服务器。服务器收到请求后，会根据giaddr字段判断客户端所属的网段，从对应的地址池中选出合适的IP，并通过中继把Offer和ACK报文回传给客户端。整个过程对终端完全透明，终端感知不到服务器在哪个网段，也不需要做任何额外配置。

这篇文章适合谁看？如果你正在维护一台华三交换机，遇到了"多个VLAN需要从同一个DHCP服务器获取IP"的需求，或者你刚接触中继这个概念，想搞清楚原理和配置方法，那这篇文章正好对路。我会从基础原理讲起，给出完整的配置命令，再分享一些我在实际调试中踩过的坑。

2. 中继工作的完整链路：从Discover到ACK，报文到底经历了什么

在配置之前，先花点时间把中继的工作机制讲透。理解报文流转的每个环节，排错的时候才能做到心中有数，而不是靠猜。

2.1 一个完整的DHCP交互流程

假设终端PC-A在VLAN 100，IP网段是192.168.100.0/24，网关是192.168.100.1（交换机VLAN 100的三层接口地址）。DHCP服务器在VLAN 10，地址是192.168.10.10。整个交互过程分为四个阶段：

第一步，PC-A发送DHCP Discover报文。源IP是0.0.0.0，目的IP是255.255.255.255，源MAC是PC-A的MAC地址，目的MAC是广播地址。这个报文到达交换机后，交换机根据目的MAC判断是广播帧，会在VLAN 100内泛洪。同时，由于交换机的VLAN 100接口配置了DHCP中继功能，它会将这个报文交给中继模块处理。

第二步，中继模块将报文的giaddr字段（Gateway IP Address）改写为192.168.100.1，然后把报文封装成单播，源IP是192.168.100.1（或者根据配置选择其他源地址），目的IP是192.168.10.10，发给DHCP服务器。giaddr字段的作用就是告诉服务器"客户端在哪个网段"，服务器正是靠这个字段从地址池中选择合适的IP段。

第三步，服务器收到Discover后，根据giaddr=192.168.100.1找到对应地址池，选择空闲IP，回复DHCP Offer，目的IP是192.168.100.1，然后交给中继。中继收到Offer后，将giaddr置零，查询之前记录的客户端端口信息，把Offer以广播形式（或者按需以单播形式）转发给VLAN 100内的PC-A。

第四步，PC-A收到Offer后，发送DHCP Request确认选择；服务器回复ACK，同样经过中继转发。至此，PC-A拿到完整的IP配置信息（IP地址、掩码、网关、DNS等），整个流程结束。

2.2 giaddr字段为什么是关键

giaddr（Gateway IP address，网关IP地址）字段是整个中继机制的灵魂。它原本是DHCP协议中一个可选的字段，客户端发送报文时该字段为零。中继设备收到广播报文后，把自己的接口地址填入该字段，再转发给服务器。服务器正是依靠这个字段来判断客户端归属的网段，选择对应的地址池。

如果配置中继时写错了接口地址，或者服务器侧地址池和giaddr不匹配，典型的症状是客户端一直获取不到IP，抓包能看到Discover在不断重发，但服务器端根本没有任何请求记录。排这类问题，第一时间检查giaddr是否和设备接口地址一致，往往能省下大量时间。

3. 动手配置前的准备工作：接口规划与网络参数设计

中继配置本身不复杂，但准备工作如果不做扎实，后面调试会非常痛苦。我把准备工作分成两个层面：一是网络规划层面的数据收集，二是交换机本身的基础配置确认。

3.1 先理清楚这三个问题

配置之前，拿出拓扑图或者自己做一张表格，把下面这些信息列清楚：

• DHCP服务器部署在哪个网段？服务器IP和端口（默认UDP 67）是什么？
• 需要做中继的客户端网段有哪些？每个网段的VLAN接口（VLANIF）地址是多少？这个地址会作为giaddr写入报文，务必准确。
• 每个网段对应的DHCP地址池范围在服务器侧是否已经配置好？池的网段必须和giaddr所在网段严格对应。

我见过太多现场翻车的情况，根源就是服务器侧地址池没建对。比如终端在192.168.100.0/24，但服务器上地址池却配成了192.168.200.0/24，结果无论如何都获取不到IP。这个问题和交换机配置无关，纯粹是规划阶段没对齐。

3.2 确认交换机基础配置到位

DHCP中继依赖三层接口和路由。正式配置前，先确认以下几点：

• 所有需要做中继的VLAN都已经创建，并且VLANIF接口地址配置正确。
• 交换机到DHCP服务器的路由是通的。可以用ping命令从交换机ping服务器地址，能通才是前提。
• 涉及到的VLANIF接口状态是Up的。接口Down的话，中继功能不会生效。

以华三S5110系列为例，VLANIF接口配置命令如下：

bash复制system-view
vlan 100
quit
interface Vlan-interface 100
 ip address 192.168.100.1 255.255.255.0
quit

确认接口地址、状态无误后，再进入中继配置阶段。

4. 中继配置全过程：华三交换机上的命令讲解与避坑点

华三交换机开启DHCP中继有两种方式，一种是在VLANIF接口上配置dhcp select relay，另一种是全局配置配合接口开启。我实际验证过，S5110系列上推荐用第一种方式，配置简单、逻辑清晰。

4.1 开启接口的中继功能

进入需要做中继的VLANIF接口，将DHCP模式切换为中继模式：

bash复制system-view
interface Vlan-interface 100
 dhcp select relay
quit

这里有个容易忽略的细节：华三交换机的三层接口默认可能运行在DHCP服务器的本地地址池模式（dhcp select server），需要先执行dhcp select relay切换到中继模式，后面的dhcp relay server-address才能生效。如果忘了这一步，直接配置服务器地址，接口上不会有任何报错，但终端就是获取不到IP，排查起来很迷惑。

4.2 指定DHCP服务器的地址

在中继模式下，为接口指定DHCP服务器的IP地址：

bash复制interface Vlan-interface 100
 dhcp relay server-address 192.168.10.10
quit

一条命令就够了。支持配置多个服务器地址作为冗余备份，顺序上华三设备默认按照配置顺序进行探测和转发，第一个不可达时会尝试下一个。

这里补充一点：如果希望中继转发的报文中源IP使用特定地址，可以通过dhcp relay source-address命令指定。默认情况下，中继使用出接口（到达服务器路由的出接口）的地址作为源IP。大部分场景不需要特别指定，但如果在防火墙上做了严格的源地址过滤，就需要关注这个参数。

4.3 完整配置示例

假设需要为VLAN 100和VLAN 200两个网段做中继，服务器在192.168.10.10，配置汇总如下：

bash复制system-view
dhcp enable
interface Vlan-interface 100
 dhcp select relay
 dhcp relay server-address 192.168.10.10
quit
interface Vlan-interface 200
 dhcp select relay
 dhcp relay server-address 192.168.10.10
quit

注意第一行，dhcp enable是全局使能DHCP服务。有些华三设备上默认是关闭的，不开启的话后续配置无效。这个命令在很多教程里都不会特意强调，但恰恰是最常见的漏配点。

4.4 UDP Helper方式与中继的区别（顺带答疑）

有些朋友会问，华三交换机上的UDP Helper和中继有什么区别？UDP Helper是用来转发特定UDP广播报文的通用工具，比如NetBIOS、TFTP等，它也可以转发DHCP。但DHCP中继是专门的DHCP协议处理模块，对DHCP报文做了更细致的解析和处理，包括giaddr字段的管理、Option 82的插入等。

配置层面，两者都可以实现"把广播报文转成单播发给服务器"，但DHCP中继更稳定、更可控。实际生产中，如果只是解决DHCP跨网段的问题，优先用中继，不要图省事把UDP Helper的通用机制拉来顶替。

5. 验证与排错：真正的技术活都在这一步

配置敲完，终端能不能拿到IP才是检验标准。我在现场调试时有一套固定的验证流程，按顺序走下来，大部分问题都能定位。

5.1 三步快速验证法

第一步，在交换机上检查接口状态和中继配置是否生效。执行display dhcp relay interface Vlan-interface 100，确认接口处于relay模式，并且服务器地址已生效。

第二步，在DHCP服务器侧查看收到的请求。如果配置没问题，服务器上应该能看到来自192.168.100.1（giaddr）的Discover报文。如果服务器侧完全看不到任何请求，说明报文没有到达服务器，问题大概率出在交换机到服务器的路由或者接口配置上。

第三步，在交换机上抓包确认报文流转。华三设备支持debugging dhcp relay packet命令查看中继转发报文的过程，或者用抓包工具在服务器侧抓包，看是否收到目的IP为服务器地址、源IP为交换机接口地址的UDP 67端口报文。这一步能清晰看到giaddr字段是否填写正确。

5.2 最常见的三类问题与定位思路

问题一：终端一直获取不到IP，反复请求

先ping一下服务器通不通，确认路由。然后看接口是否执行了dhcp select relay，再看全局dhcp enable是否开启。这三个检查项能覆盖七成以上的问题。

问题二：只有部分网段的终端能拿到IP

重点检查服务器侧地址池配置。比如VLAN 200没有对应网段的地址池，服务器收到giaddr=192.168.200.1的请求后找不到匹配的地址池，会直接丢弃。这时候交换机和网络层面都是通的，问题完全在服务器侧。

问题三：终端能拿到IP，但上不了网

这种情况多半是网关、掩码或DNS下发错误，和中继本身关系不大。检查服务器侧地址池的option参数，看看下发的网关地址是否和终端所在VLAN的网关一致。

5.3 用display命令定位问题的具体方法

在交换机上执行display dhcp relay statistics，可以查看中继接口收发的报文统计。这个命令的输出里能看到收到的Discover、Request数量，以及转发的Offer、ACK数量。如果收到的Discover数量在增长，但转发的报文没有增长，说明中继处理环节出了问题；如果Discover根本没增长，说明报文就没到交换机的中继模块。

再配合display dhcp relay server-address查看接口下配置的服务器地址是否完整，整个排查链路就闭环了。

6. 实际项目中踩过的坑：这些细节没人会写在官方文档里

如果只是转发官方手册里的命令，这篇文章意义不大。下面这些坑是我在真实项目里踩过的，写出来帮大家避雷。

6.1 DHCP服务器本身在另一个VLAN里，中继接口能配自己吗

有个项目把DHCP服务器放在VLAN 10，中继接口是VLAN 100。我在配置时把服务器地址写成了服务器的VLAN 10接口地址，但一开始忘了检查服务器所在VLAN的三层接口是否也开启了中继或者本地服务。结果服务器的回包路径出问题，Offer发出去了但终端收不到。排查到最后发现，服务器VLAN 10的VLANIF接口上没有做任何DHCP相关配置，默认情况下服务器能收到单播的Discover，但由于交换机没有在VLAN 10接口上做中继，回包的转发路径不对。

解决办法很简单：在服务器所在的VLANIF接口上也要配置dhcp select relay并指向服务器地址，或者让服务器直连交换机且交换机在该VLAN上关闭DHCP Snooping的干扰。实际上，最稳妥的部署方式是让服务器所在VLAN的交换机接口也启用中继指向服务器，保证回包能被正确转发。

6.2 交换机开启了DHCP Snooping但没放行中继接口

很多园区网络为了防私接路由器，会在交换机上开启DHCP Snooping。这个功能默认信任连接DHCP服务器的接口，不信任其余接口。如果中继转发的报文从非信任接口发出，会被Snooping逻辑拦截，导致Discover无法到达服务器。

症状表现为：配置完全正确，服务器侧就是收不到请求。排查手段是在服务器侧抓包，然后看交换机上Snooping的丢弃计数。这个坑隐蔽性很高，因为报错信息不会直接提示"DHCP Snooping丢弃"，需要打开display dhcp snooping statistics才能看到。

6.3 Option 82和地址池的联动问题

华三交换机在开启中继时，默认会在转发的报文里插入Option 82选项，包含电路ID和远端ID信息。如果服务器侧启用了Option 82的地址分配策略（比如根据电路ID分配特定网段地址），这个功能是好用的；但如果没有用到，建议在中继接口下关闭Option 82插入：

bash复制interface Vlan-interface 100
 undo dhcp relay information enable
quit

为什么强调这个？我遇过一个案例，服务器是某些商业上网行为管理系统自带的DHCP，对带Option 82的报文直接丢弃，导致终端获取不到IP。关闭中继的Option 82插入后问题立刻消失。所以当你排除了所有常规因素还找不到原因时，不妨试试关掉Option 82。

6.4 交换机自身开启了DHCP服务器功能导致冲突

有些场景下，交换机上既有本地地址池，又配置了中继。比如VLAN 100配置中继按说不会影响VLAN 200，但如果全局地址池配置和接口配置之间产生了优先级冲突，某些型号的设备可能在转发时优先使用本地地址池应答，导致服务器下发地址和交换机下发地址混乱。

最好的实践是：同一台交换机上，要么全做本地地址池，要么全做中继，不要混用。确实需要混用时，务必用display dhcp server ip-in-use和display dhcp relay statistics确认每个接口的实际工作模式，避免"我以为在转发，实际上在本地分配"的尴尬。

7. 不同型号华三交换机的配置差异与升级注意事项

华三的设备型号很多，从S5110、S5130到S5560，虽然命令风格一致，但细节上还是有不少差异。我按经验整理了一份对照表，供参考。

有两个操作层面的提醒：

一是Comware版本差异。部分老版本软件（比如V5版本的S5110）和V7版本（S5130、S5560）的命令细节有差异，比如V5里dhcp select relay可能写为dhcp select relay和dhcp relay server-address的顺序要求不同。升级前一定先查版本手册，不要凭经验直接套命令。

二是设备升级或重启后配置丢失的问题。中继配置属于静态配置，重启后应该还在，但如果你用了H3C的CFG文件备份习惯，建议配置完成后执行save force保存。另外，在设备上升级软件版本时，最好先备份原有配置文件，升级后通过display current-configuration | include dhcp确认全局和接口下的DHCP相关配置没有被重置。

8. 中继配置的场景化进阶：多服务器、混合接入和跨设备中继

基础配置搞定后，如果网络规模再大一点，或者拓扑更复杂，有些进阶场景值得提前了解。

8.1 多服务器冗余配置

生产环境不允许单点故障，DHCP服务器至少做两台。华三交换机支持在一个接口下配置多个服务器地址：

bash复制interface Vlan-interface 100
 dhcp select relay
 dhcp relay server-address 192.168.10.10
 dhcp relay server-address 192.168.10.11
quit

这种情况下，主服务器不可达时，交换机会自动切换到备服务器。需要注意的是，切换机制依赖交换机对服务器可达性的探测，这个探测周期通常以秒计。终端在切换窗口内发起请求可能会失败，但重试几次就能成功，可接受。

8.2 无线控制器（AC）和交换机中继的协同

在无线园区网里，终端的DHCP请求经过了无线空口，由AP转发给AC，再由AC转发给交换机。如果无线终端和有线终端在同一个VLAN，交换机的中继配置可以统一处理；如果无线终端在独立VLAN，配置方法和有线完全一样，只是VLANIF和VLANID不同。

这里有几个实际项目中容易踩的点：一是确认AC的VLAN配置和交换机一致，VLAN ID对不上，广播域就串了；二是在AC上开启DHCP Snooping的话，同样要注意信任接口的放行；三是无线终端的漫游会导致源MAC变化，中继本身不受影响，但Option 82插入的电路ID可能让服务器误判终端位置，这种场景下建议关闭Option 82插入，或者确保服务器侧能正确处理。

8.3 中继和VRRP联动时的特殊处理

在双核心热备架构下，两台核心交换机通过VRRP共享一个虚拟网关IP。此时中继的giaddr应该使用虚拟IP地址（也就是VRRP组的虚拟IP），这样两台交换机任意一台转发请求，服务器看到的giaddr都是同一个地址，地址池选择逻辑不会因为主备切换而出现错乱。

具体配置时，VLANIF接口的IP地址用虚拟IP，同时在两台交换机上都配置dhcp select relay和dhcp relay server-address。这样即使主设备故障，备份设备接管后中继功能同样生效，终端无需重新请求就能保持IP配置。

8.4 跨设备中继的注意事项

有一种少见的场景：DHCP服务器和终端不在同一台交换机下，中间还隔着一台三层设备。此时中继配置应该放在终端接入的交换机上，而不是中间的转发设备上。原因在于，中继的职责是"接收广播并转换为单播"，只有终端接入的交换机才能直接接收到终端的广播Discover报文。中间三层设备收到的是单播报文，不需要也不能做中继处理。

这个原则同样适用于多级交换架构：在终端接入的汇聚交换机上配置中继，核心交换机上只需要确保路由通畅。

9. 运维习惯上的几点个人建议

文章写到最后一个部分，聊一些我处理中继问题时形成的运维习惯。这些习惯不涉及具体命令，但对稳定运行很有帮助。

第一，所有下发的配置都要有文档支撑。中继配置看似简单，但每个VLANIF对应哪个网段、服务器地址为什么是那个IP、是否关闭了Option 82，这些决策如果没有记录，三个月之后自己都会忘记当初为什么这么做。我一般会在配置文件夹里维护一份表格，包含接口、VLAN、网段、DHCP服务器地址、Option 82状态、备注信息，变更时同步更新。

第二，变更前先备份配置，变更后立即验证。华三设备的save force命令是运维的好朋友，配置改完，验证完业务，马上保存配置。不然设备一重启，配置回到旧版本，排查半天才发现是配置没存住，非常糟心。

第三，中继环境的排错要形成肌肉记忆。我的排查顺序永远是：终端抓包确认Discover发出 → 交换机确认报文到达中继接口 → 服务器抓包确认Discover到达 → 服务器回包 → 交换机转发回包 → 终端拿到地址。每一步都有对应的抓包或计数来验证，一层层推进，不需要猜。

第四，多利用华三的display和debug命令做主动检查。display dhcp relay statistics、display dhcp snooping statistics、debugging dhcp relay packet这几个命令组合使用，绝大多数问题都能在十分钟内定位。比盲改配置高效得多。

总的来说，华三交换机的DHCP中继配置不复杂，真正的复杂度在于理解报文流转的细节，以及在不同网络环境下做出正确的判断。希望这篇分享能帮大家少走一些弯路。如果你在配置中也遇到过类似的坑，欢迎在评论区交流，我可以把更多实际案例整理出来补充到这篇文章里。