一文讲透DHCP：从原理、配置到故障排查的实战指南

说实话，干网络运维这行，几乎天天都在跟 DHCP 打交道，但真正能把“动态主机配置协议”这件事讲明白的人并不多。前阵子有个刚入行的朋友在做实验，问我：为什么他的终端老是拿到 169.254 开头的地址，明明公司核心交换机上配了 DHCP 服务却怎么都不下发？我让他先从 DHCP 报文交互查起，结果他一脸茫然。这个场景太常见了，所以我觉得有必要把 DHCP 拉出来系统捋一遍，从原理到 Linux 配置，再到华为/华三设备上的实操，最后把常见的坑都摆出来，一篇讲透。

这篇内容不挑人。学生党做模拟器实验能用上，刚转岗的运维可以当排查手册，老手也能看看有没有忽略掉的细节。我不会只堆命令，会把“为什么这么配”“这条命令到底在做什么”都解释清楚，毕竟只有理解了协议的行为逻辑，出了问题才知道从哪里下手。

1. 为什么 IP 不能全靠手写——DHCP 解决的核心问题

1.1 DHCP 到底在干什么：从一场“入住分配”说起

先打个比方。你可以把 DHCP 服务器想象成酒店的前台，每台终端设备就像来入住的客人。客人进门时没有房间钥匙，前台根据当前的房态随手分配一间，同时告诉客人餐厅在哪、WiFi 密码是多少、退房时间是什么时候。DHCP 干的就是这件事：当一台设备接入网络时，它不知道自己该用什么 IP，于是向网络里“喊一嗓子”，有 DHCP 服务器的角色就来应答，给它分配一个当前空闲的 IP，顺便告诉它网关、DNS、租期这些上网必需的参数。

整个过程跑的是 UDP 协议，客户端端口 68，服务端端口 67。客户端初始状态下没有 IP，源地址只能用 0.0.0.0，目标地址是 255.255.255.255 的广播地址。这意味着 DHCP 在局域网内天然是广播通信的，也正是因为“广播”这个特性，DHCP 才能做到零配置自动入网。你想想，如果每台设备接入网络都要人工配 IP、掩码、网关、DNS，一个上百人的办公室光是维护 IP 台账就够你喝一壶的，更别提有人乱填地址导致冲突的情况了。

那么 DHCP 能解决什么问题？往小了说，是免去了手工配置的麻烦；往大了说，是让 IP 地址资源可以被动态回收和再利用。笔记本电脑今天在公司、明天在家，手机在办公室和会议室之间切换，这些场景下设备的 IP 需求是短时且移动的。DHCP 通过租约机制把不用的地址收回来，再分配给新加入的设备，地址利用率会高很多。

1.2 静态 IP 和 DHCP，真到了二选一的程度吗

有网友在热搜里问“使用静态 IP，还需要 DHCP 吗”，这个问题其实暴露了一个常见的认知误区。静态 IP 和 DHCP 不是非此即彼的对立关系，DHCP 完全可以给特定设备“固定”分配同一个 IP，这叫 DHCP 静态绑定，也叫地址保留。

什么场景适合纯静态？我给你列三个：网络设备的管理地址、服务器的业务地址、打印机等需要被固定访问的终端。这些设备的 IP 一旦变了，监控系统、巡检脚本、用户访问入口全都会跟着出问题。但如果你整个办公室几百台电脑全用静态 IP，那就等着天天处理地址冲突吧——总有人填错，你还不一定查得出来是谁。

更好的做法是：核心设备用静态 IP，普通终端走 DHCP 地址池，对于少数需要“看起来像静态”的特殊终端，在 DHCP 服务器上按 MAC 地址做保留。相当于前台给特定 VIP 客人永远留同一间房，但退房、续住这些流程还是统一管理。所以回答那个问题：不是“有了静态 IP 还需要 DHCP 吗”，而是“网络规模一大，你根本离不开 DHCP，静态只应该留给少量基础设施”。

1.3 “IP 是如何让对端知道的”——一句被问烂但值得琢磨的话

热搜里有一句“IP 是如何让对端知道的”，这个问法其实有点歧义。IP 地址不是你跑到对端面前“告诉”它的，而是通过一整套地址分配与发现机制来让彼此可达。设备拿到 DHCP 分配的 IP 后，它的网卡上就有了地址、掩码和网关信息。接下来如果它要访问同网段的另一台设备，会用 ARP 广播去询问“谁是某个 IP”，拿到对方的 MAC 地址后直接二层通信。如果目标地址不在同一网段，就把数据包扔给默认网关，让路由器去转发。

所以“让对端知道”这个动作实际上是分层的：DHCP 负责让设备先获得合法身份，ARP 负责在同一广播域内把 IP 解析成 MAC 地址，路由协议负责让跨网段的数据找到路径。这三件事经常被混在一起问，实际排障时如果分不清是哪一层出了问题，很容易拿着网线钳瞎忙活。后面我会用一个抓包实例把 DHCP 的分配过程完整拆开，那才是理解这个问题的关键。

2. DHCP 的四步握手全流程拆解

2.1 DISCOVER 到 ACK 的完整报文交互

DHCP 分配 IP 的过程有个经典说法叫“四步握手”。和 TCP 的三次握手一样，这四步决定了客户端与服务端之间能否建立有效的配置下发关系。

第一步，客户端发送 DHCP DISCOVER 广播报文。源 IP 是 0.0.0.0，目的 IP 是 255.255.255.255，它其实是在问：“网络里有没有 DHCP 服务器？我需要一个地址。”

第二步，DHCP 服务器回应 DHCP OFFER 报文。服务器从地址池里挑一个空闲 IP，连同子网掩码、网关、DNS、租期等参数一起放进报文里，同样以广播方式（某些场景下也可以单播）回应给客户端。这里有个细节：如果网络里不止一台 DHCP 服务器，客户端可能会收到多个 OFFER。

第三步，客户端发送 DHCP REQUEST 报文。它从收到的多个 OFFER 里选一个（通常是第一个到达的），然后广播 REQUEST，在报文的 option 54 字段里填上自己选中的服务器标识。这个广播既是告诉选中的服务器“我接受你的地址”，也是告诉其他服务器“抱歉，我没选你，把你的地址收回去吧”。

第四步，服务器收到 REQUEST 后，确认没有冲突，就发送 DHCP ACK 报文，客户端收到后开始正式使用这个 IP。如果服务器觉得这个地址不能给（比如已被占用或者池子空了），会回一个 DHCP NAK，客户端就得重新从 DISCOVER 开始。

我做了这么一张表，方便你对照记忆每个步骤的关键字段和地址变化：

2.2 租期续约：50% 和 87.5% 这两个时间点

拿到 IP 不等于永久拥有。DHCP 分配给客户端的地址是有租期的，默认值因设备而异，常见的是 24 小时。租期机制的意义我在前面提过，是为了让不活跃的设备把地址交出来。但客户端不会干等到租期结束才去续租，那样就断网了，它的续约逻辑很讲究。

客户端会在租期走到 50%（T1 时间点）时，向当初分配地址的那台 DHCP 服务器发送单播 REQUEST 请求续租。如果这台服务器正常响应 ACK，续租成功，租期重新计算。如果 T1 没续上，客户端不会立刻放弃，它会等到租期的 87.5%（T2 时间点）再发一次 REQUEST，但这次是广播的形式，意思是“原来的服务器不理我，只要网络里有任何一台 DHCP 服务器愿意续给我也行”。要是 T2 还没成功，那就只能一直熬到租期结束，然后停止使用这个地址，重新开始 DISCOVER 流程。

这个小细节值得记住，因为很多线上问题都出在续租环节。比如你给 DHCP 服务器改了网关地址但客户端续租不成功，设备就会一直用旧的网关参数，表现就是网络时好时坏。排查时先看客户端租约到没到期、续租有没有成功，往往比直接怀疑链路更有效率。

2.3 抓一次包看看真正的 DHCP 报文长什么样

理论讲再多，不如自己抓一次包直观。我在 Linux 上常用 tcpdump 抓 DHCP 流量，一条命令搞定：

bash复制tcpdump -i eth0 port 67 or port 68 -n -vv

只要客户端执行 ipconfig /renew（Windows）或者 dhclient -r 再 dhclient（Linux），就能在抓包结果里完整看到 DISCOVER、OFFER、REQUEST、ACK 四步。你还会注意到一个细节：每个报文里都带有一个 XID（事务 ID），客户端和服务器靠它来匹配属于同一次分配过程的报文。如果你看到 DISCOVER 的 XID 和后续 ACK 的 XID 对不上，那基本可以断定有中间设备干预或者抓包姿势不对。

另外用 Wireshark 打开抓包文件能看得更细，过滤条件填 bootp 就能筛出全部 DHCP 报文。展开 BOOTP 字段能看到 xid、client MAC address、your IP address 这些关键信息；DHCP 的 option 字段里，option 53 是消息类型，option 54 是服务器标识，option 51 是租期，option 1 是子网掩码，option 3 是网关，option 6 是 DNS。把这些 option 都认识一遍，以后看报文就跟看自己写的配置一样清楚。

3. Linux 下 DHCP 服务端与客户端配置实战

3.1 服务端配置文件逐行解读：dhcpd.conf 其实不难

Linux 上搭 DHCP 服务器，最常见的方案是 ISC DHCP Server。不同发行版的安装命令略有差异，RHEL/CentOS 系是 dhcp-server 这个包，Ubuntu/Debian 系是 isc-dhcp-server。装好之后，核心配置文件都在 /etc/dhcp/dhcpd.conf（Debian 系路径相同）。

我拿一个典型的内网网段举例，比如要给 192.168.10.0/24 这个网段做动态分配，配置可以这样写：

bash复制subnet 192.168.10.0 netmask 255.255.255.0 {
    range 192.168.10.100 192.168.10.200;
    option routers 192.168.10.1;
    option subnet-mask 255.255.255.0;
    option domain-name-servers 223.5.5.5, 114.114.114.114;
    option domain-name "example.local";
    default-lease-time 600;
    max-lease-time 7200;
}

注意看几个容易理解错的地方。range 指定的是可以动态分配的地址范围，这个范围应该避开网关上已经静态占用的地址。option routers 就是默认网关，客户端上网全靠它。option domain-name-servers 可以填多个 DNS，用逗号分隔。default-lease-time 单位是秒，600 秒是 10 分钟，这只是个默认值，如果客户端没有特别要求租期，服务器就用它；max-lease-time 则是上限封顶。

再补充一个很实用的静态绑定片段，给打印机或者特殊终端固定 IP：

bash复制host printer {
    hardware ethernet 00:11:22:33:44:55;
    fixed-address 192.168.10.9;
}

这里面 hardware ethernet 后面写的是终端的 MAC 地址，fixed-address 是你要固定的 IP。这种写法比手工去终端上配静态 IP 更好管理，因为所有分配记录都在 DHCP 服务器上，出问题的时候你登录服务器一眼就能看到。

改完配置后先跑一遍配置检查：

bash复制dhcpd -t -cf /etc/dhcp/dhcpd.conf

没有输出错误再重启服务，RHEL 系是 systemctl restart dhcpd，Debian 系是 systemctl restart isc-dhcp-server。这里必须提醒：很多新手改了配置不检查直接重启，遇到配置语法错误，服务根本起不来，客户端那边自然全部拿不到地址。

3.2 客户端自动获取 IP 的三种配置方式

配完服务器，客户端这边也有对应的配置方法。现在的 Linux 发行版网络管理方式比较分裂，有的用 NetworkManager，有的用 systemd-networkd，还有老传统 CentOS 6 时代留下来的 network 脚本，你至少得会两三种，不然换台机器就傻眼。

NetworkManager 是最常见的，用 nmcli 命令操作：

bash复制nmcli connection modify eth0 ipv4.method auto
nmcli connection up eth0

把 eth0 的连接方式改成自动获取，等于把原来的静态 IP 配置清掉，改由 DHCP 下发。改完以后要 active 一下，让配置立即生效。

如果你用的是 systemd-networkd，那就在 /etc/systemd/network/ 下建一个网卡配置文件，比如 20-wired.network，内容大致是：

ini复制[Match]
Name=eth0

[Network]
DHCP=yes

这算是最干净的方式之一，没有 NetworkManager 那层包裹，配置直接明了。

老一点的发行版或者没装 NetworkManager 的服务器，则是改 /etc/sysconfig/network-scripts/ifcfg-eth0 这种文件，把 BOOTPROTO=none 或 static 改成 BOOTPROTO=dhcp，然后重启网络服务。归根结底就是一件事：让网卡从“手工指定地址”切换成“向 DHCP 服务器要地址”。我自己的习惯是优先用 NetworkManager，因为它能同时管理有线无线，但对于纯内网服务器，systemd-networkd 更轻量稳定，看个人场景取舍。

3.3 配置验证与租约查看：你给的 IP 到底去哪了

服务配好、客户端也切到 DHCP 了，接下来要验证到底有没有生效。Linux 下查看网卡地址的命令是 ip addr，如果看到 inet 一行的地址是 192.168.10.x 且状态正常，说明已经拿到了地址。如果地址是 169.254.x.x，说明 DHCP 交互失败，客户端启用了自动私有地址。

DHCP 服务器这边，租约文件会记录所有分配记录。ISC DHCP Server 的租约文件在 /var/lib/dhcpd/dhcpd.leases，里面能看到哪个 MAC 在什么时间拿到了哪个 IP、什么时候到期。排查地址冲突或者有人私接设备时，这个文件就是铁证。你也可以在服务端用 journalctl -u dhcpd 查看服务日志，客户端 DISCOVER、REQUEST 的过程都会留下记录，配合租约文件基本能还原整个分配链路。

如果发现客户端一直拿不到地址，先在服务器本机验证端口有没有监听：

bash复制ss -ulpn | grep 67

67 端口没有 UDP 监听，客户端再怎么广播也没人理会。这时候检查服务状态、防火墙规则，大概率问题不是出在协议上，而是服务根本没起来或者被防火墙拦了。

4. 数通设备上的 DHCP 配置：模拟器和真实设备都适用

4.1 华为场景：接口地址池还是全局地址池

用华为模拟器做实验时，DHCP 是高频需求。比如热搜里有人问“用华为模拟器来配置 RIP 而且用 DHCP 来配 IP”，这是一个很典型的综合实验：核心路由器跑 RIP 协议让全网路由可达，同时用 DHCP 给下游 PC 分配 IP。华为设备上配 DHCP 有两种主流模式，你得先理解它们的区别再选。

接口地址池模式（dhcp select interface）适合简单的单网段场景。它直接在接口视图下开启 DHCP，地址池范围取接口自身的网段，优点是配置量小，缺点是只能服务这一个接口下的终端，控制粒度粗。全局地址池模式（dhcp select global）则是先在系统视图下创建一个全局 IP 池，接口再调用，适合多网段、多 VLAN 的复杂场景，也便于统一管理。

我以一个三层交换机上跑两个 VLAN 的实验为例，完整配置是这样：

bash复制dhcp enable

ip pool vlan10
 gateway-list 192.168.10.1
 network 192.168.10.0 mask 255.255.255.0
 excluded-ip-address 192.168.10.1 192.168.10.50
 dns-list 223.5.5.5
 lease day 1

ip pool vlan20
 gateway-list 192.168.20.1
 network 192.168.20.0 mask 255.255.255.0
 excluded-ip-address 192.168.20.1 192.168.20.50
 dns-list 223.5.5.5
 lease day 1

interface Vlanif10
 ip address 192.168.10.1 255.255.255.255
 dhcp select global

interface Vlanif20
 ip address 192.168.20.1 255.255.255.255
 dhcp select global

这里有两个细节值得强调。一是每一行的顶格和缩进不纯粹是排版好看，华为的配置是视图嵌套关系，ip pool 这个名字要在系统视图下创建，进入 pool 视图后才能配置 network、gateway-list 这些参数。二是 VLAN 的网关地址必须落在对应 IP 池的网段里，并且最好用 excluded-ip-address 排除掉，否则 DHCP 把网关所在地址分给某个终端，直接就冲突了。

在接口视图下直接配置的情况下，VLANIF 接口绑定全局池，客户端广播到达三层网关后，交换机就会根据入接口的网段从对应全局池里选地址分配。这等于是 DHCP 服务集中管理、按需下发，比每个 VLANIF 单独配一个池子清爽很多。

RIP 的部分怎么配合？以华为 AR 路由器为例，你在接口上开启 dhcp select interface 或 global，下游设备获取到 IP 之后，接口自身的 IP 是已经配置好的，RIP 正常宣告对应的网段即可：

bash复制rip 1
 version 2
 network 192.168.10.0
 network 192.168.20.0

DHCP 和路由协议是两件独立的事：DHCP 负责给终端发“身份证”，RIP 负责让全网设备知道这些地址段该怎么走。实验里常见的问题是忘记宣告或者宣告了错误的网段，导致 PC 虽然拿到了 IP，却 ping 不通别的网段，这是非常典型的“配置了 DHCP 但路由不完整”的坑。

4.2 华三 Vlan 场景的 DHCP 配置思路

华三设备的命令风格和华为有相似之处，但细节不同。先开启 DHCP 服务，然后创建一个 server ip-pool，注意它是全局地址池的概念，VLAN 接口要绑定到服务器模式：

bash复制dhcp enable

dhcp server ip-pool vlan10
 gateway-list 192.168.10.1
 network 192.168.10.0 mask 255.255.255.0
 dns-list 223.5.5.5
 expired day 1

interface Vlan-interface 10
 ip address 192.168.10.1 255.255.255.0
 dhcp select server

华三的地址池命名里的 vlan10 只是个名字，不代表自动绑定到 Vlan-interface 10。真正决定哪个网段用哪个池子，是靠 network 字段和接口 IP 的对应关系。所以在华三设备上排障时，要检查地址池的 network 是否和 VLANIF 接口的 IP 在同一网段，这是最常出 mismatch 的地方。

如果某一个网段规模特别大，或者终端分布在多个 VLAN 里，还要考虑地址池要不要按子网拆分。华三支持在地址池里继续用 network 指定更小的子网，再配合客户端的请求网段区分下发，但这套逻辑对初学者有点绕。我的建议是先用最朴素的“一个 VLAN 对应一个地址池”模型，跑通了再琢磨高级特性。

4.3 数通设备上用静态绑定，把“伪静态”玩明白

很多公司在用数通设备做 DHCP 时，都会遇到一个问题：服务端设备（比如服务器）需要固定地址，但又不想去终端上一台台手改。在华为设备上，这个问题用 dhcp static-bind 解决：

bash复制ip pool server
 gateway-list 192.168.10.1
 network 192.168.10.0 mask 255.255.255.0
 static-bind ip-address 192.168.10.100 mac-address 00e0-fc12-3456

这个命令把某个 MAC 地址和某个 IP 绑定在一起，只要这台设备用 DHCP 获取地址，交换机永远给它分配同一个 IP。和管理员手工记录 IP-MAC 对照表相比，这种方式最大的好处是：终端配置完全不用动，IP 变了也不会影响其他设备，因为所有绑定逻辑都在 DHCP 这边收敛。

4.4 DHCP Relay：跨 VLAN 时广播到达不了的家

前面讲 DHCP 时我特意强调过，客户端初始状态是靠广播找服务器的。但广播天生过不了三层设备，VLAN 10 的广播到不了 VLAN 20。所以网络规模一大、DHCP 服务器集中部署在核心机房时，你必须在三层设备上配置 DHCP Relay，也就是 DHCP 中继。它扮演传话人的角色：VLAN 20 的终端广播 DISCOVER，中继收到后把它转成单播发给真正的 DHCP 服务器，服务器回应时也先发给中继，再由中继转给终端。

华为设备配置中继思路很简单，接口下开 dhcp select relay，然后指定服务器地址：

bash复制interface Vlanif20
 ip address 192.168.20.1 255.255.255.0
 dhcp select relay
 dhcp relay server-ip 192.168.10.2

华三的命令也类似，接口视图下执行 dhcp select relay 再指定服务器即可。这个功能在你规划集中式 DHCP 架构时必不可少，否则你只能在每台接入交换机上分别放地址池，管理成本极高。

5. 组网中你看不见的那些 DHCP 冲突与排查

5.1 路由器的 wifi 怎么由光猫来做 DHCP：家庭组网常见的冲突

热搜里“路由器的 wifi 怎么由光猫来做 DHCP”问得非常接地气，其实就是家庭组网里最常见的 DHCP 冲突问题。光猫默认是 192.168.1.1 网段的 DHCP 服务器，你自己买的路由器默认往往也是 192.168.1.1 网段，而且出厂就自带 DHCP 服务。两强相遇必然打架：终端设备可能拿到光猫的地址，但 WiFi 信号是从路由器发出的，数据包出了路由器发现网关不对，网络就跟着抽风。

解决方案有两条路可选。一是把路由器 WAN 口设为自动获取 IP，让它从光猫那里拿一个地址，路由器的 LAN 口继续用自己的 DHCP 给 WiFi 终端分配。这种接法的本质是二级路由，终端内外网会经过两次 NAT，偶尔玩游戏或者做端口映射时会遇到一点麻烦。二是光猫保持正常路由和 DHCP，路由器关掉 DHCP 服务、改成 AP 模式，所有终端的地址都由光猫统一分配，这样整个家庭只有一个网段、一个 DHCP 服务器，最干净。

实际操作中我推荐第二种。登录路由器管理界面，找到 DHCP 服务开关，关掉它；然后把路由器的 LAN 口 IP 改到光猫同一网段且不冲突的地址，比如 192.168.1.2；最后用网线把光猫的 LAN 口接到路由器的 LAN 口上，不是 WAN 口，这个细节最容易错。这样路由器的 WiFi 信号还在，但 IP 分配权已经彻底交给了光猫。

5.2 拿不到 IP 时的排查路线和故障速查

遇到设备获取不到 IP 的问题，别急着重启设备或者换网线，按下面这个顺序来排，效率会高很多。

第一步，在终端上执行地址释放和重新获取。Windows 是 ipconfig /release 再 ipconfig /renew，Linux 是 dhclient -r 然后再 dhclient。同时观察有没有报错。如果提示“无法联系 DHCP 服务器”，说明广播发出去了但没人应答，问题大概率在网络链路或服务器一侧。

第二步，看拿到的地址类型。拿到 169.254.x.x 这种地址，说明网络里完全没有 DHCP 服务应答；拿到的是别的网段的地址，比如 VLAN 10 的终端却拿到了 192.168.20.x 的地址，那就要查 DHCP 服务器的地址池规划和中继配置是不是串了。

第三步，在服务器或者交换机上看日志和租约。华为设备用 display ip pool 查看地址池使用情况，重点看有没有地址耗尽；Linux 服务器看日志，服务器明明收到了 DISCOVER 却没有发 ACK，可能是地址池满了或者服务异常。

第四步，抓包确认。在客户端或者交换机镜像口上抓包是终极手段。看看 DISCOVER 有没有出客户端、OFFER 有没有回来。如果只看到 DISCOVER 看不到 OFFER，问题在服务器到客户端这条路径上；如果 OFFER 出了服务器却没到客户端，那就查中继、查 VLAN 划分、查二层隔离策略。

下面把高频问题整理成一张速查表，方便你以后对号入座：

5.3 常用的 DHCP 排查与检测工具，实用到可以收藏

你说网络里到底有几台 DHCP 服务器在干活，光靠人眼很难判断。这里就要用到专门的 DHCP 工具。Linux 环境下我常用 dhcping 和 dhcpdump，前者用来测试某个服务器是否还能正常应答 DHCP 请求，后者用来抓取 DHCP 报文的详细内容。

在 Linux 下安装这些工具后，一条 dhcping 命令就能判断服务器是否存活并响应：

bash复制dhcping -s 192.168.10.1 -c 00:11:22:33:44:55

这里 -s 指定 DHCP 服务器 IP，-c 指定模拟的客户端 MAC。如果服务器正常，它会像模像样地给出一个响应结果。dhcpdump 则适合在终端或交换机上监听某个接口的 DHCP 流量，把每秒到达的 DISCOVER、OFFER 数都打出来，让你直观感受协议交互节奏。

Windows 上以前也有一类图形界面工具，比如 MCTV DHCP Server Discovery Tool，专门用来扫描一个局域网里有哪些 DHCP 服务器在响应请求。这类工具非常适合检查“有没有人私自接了无线路由器导致内网出现多个 DHCP 服务器”的问题。你只要运行扫描，工具会模拟客户端发送 DISCOVER，然后把所有应答的服务器 IP 和 MAC 列出来，谁在私开 DHCP 一目了然。

抓到多个 DHCP 服务器的现象，在园区网里是隐患非常大的。终端可能从非法的服务器拿到一个错误的网关或者 DNS，轻则上网慢，重则被钓鱼劫持。解决思路是在交换机上启用 DHCP Snooping 功能，只信任连接合法 DHCP 服务器的端口，其他端口的 DHCP OFFER 全部丢弃。华为交换机上的配置也比较直接：

bash复制dhcp snooping enable
dhcp snooping trusted interface GigabitEthernet0/0/1

首先全局开启 DHCP Snooping，再把连接合法 DHCP 服务器的接口设为 trusted，其余接口默认是 untrusted，收到非法的 DHCP 应答直接丢弃。这个特性在防私接路由器的场景下非常好用，值得认真掌握。

6. 一些我自己的排障心得

写了这么多，最后说说我的个人经验吧。DHCP 排障这件事，本质上就是验证一句话：客户端发出的请求，有没有一台合法的服务器正确应答；应答携带的参数，是否符合你的网络规划。80% 的问题都出在“服务没起来”“广播被 VLAN 隔离了”“地址池耗尽”“网关参数写错”这四类原因上，而且大部分看一眼日志和租约文件就能定位。

我自己踩过最深的坑是 DHCP Snooping。当初为了防私接路由器给全楼接入交换机开了这个功能，结果忘了把核心交换机的上联口设成 trusted，导致整栋楼的合法 DHCP 报文被交换机吃了，终端全部变成 169.254 段，当时的现场可以说相当混乱。后来学乖了，凡是在接入层动 DHCP Snooping，一定先在核心侧确认 trusted 端口配好再放开验证，这个顺序颠倒不得。

最后分享一个特别实用的小技巧：经常主动去看 DHCP 服务器的租约文件或者地址池占用情况，这能帮你发现很多“还没爆发但迟早要出问题”的隐患，比如某台打印机几个月没开机却占着保留地址、某个 VLAN 的地址池使用率悄悄涨到了 90%。网络运维里最值钱的能力不是会敲命令，而是能在故障发生之前就闻出味道来。希望这篇内容能帮你在理顺 DHCP 的同时，也养成这种主动观察的习惯。