企业官网建设流程全解析

单位内部署过DHCP的人应该都有体会：这东西不出问题的时候没人记得它，一出问题全办公室的人都来找你。最常见的就是两种场景——要么是终端获取不到IP，要么是IP分配得乱七八糟，今天能上网明天突然断线。我在现网里折腾DHCP也有几年了，从最初的在路由器上配几行命令，到后来在华为交换机上用全局模式、接口模式、中继模式分别解决问题，踩过的坑不算少。这篇就把我实际部署和运维DHCP的完整经验整理出来，重点讲清楚三种部署方式的适用边界、地址池设计思路、以及那些新手最容易翻车的地方。内容主要面向刚接手企业网络维护的工程师，或者正在规划办公网地址分配方案的同行。

先说明一下我写这篇的出发点：网上讲DHCP的文章不少，但大部分要么只讲原理不碰设备，要么只给命令不讲为什么这么配。真实网络环境里，判断"该用全局还是接口模式""该在核心交换机还是接入交换机上配""中继到底解决什么问题"，这些选择其实比敲命令本身重要得多。我争取把这些决策逻辑讲透，让你在规划阶段就能少走弯路。

1. 先搞懂DHCP的工作机制：广播、租约和续租的细节

1.1 DHCP为什么靠广播就能找到服务器

DHCP的全称是动态主机配置协议，它解决的最核心问题就一个：让终端设备插上网线就能拿到合法的IP地址、掩码、网关和DNS，不需要网管一台一台去手工配置。但这里有个关键的逻辑前提——终端在第一次接入网络时，它自己是没有任何IP地址的，而服务器也不知道这个终端在哪。两个"没有身份"的设备要建立通信，靠的就是广播帧。

具体来说，终端启动时会向外发送一个DHCP Discover报文，目的地址是255.255.255.255，这个广播报文到达交换机后默认会被转发到同一个二层域内的所有端口。如果DHCP服务器就在同一个广播域里，它收到Discover后会回应一个DHCP Offer报文，同样以广播形式发出，向终端提供可用的IP地址和其他配置参数。终端收到Offer后发送DHCP Request，表示接受这个地址，服务器最后回一个DHCP Ack确认，整个分配过程就完成了。

这个过程里有几个值得注意的细节。第一，收发双方在真正分配完成前都没有完整的IP配置，通信完全依赖广播，所以二层网络必须通。第二，交换机会对DHCP广播做特殊处理吗？其实不会，在默认配置下，DHCP广播帧在交换机上的转发和普通广播帧没有本质区别。第三，如果网络里存在多个DHCP服务器（包括一些不应答但确实存在的傻瓜设备），终端会收到多个Offer，它一般会选择最先到达的那个——这也是很多莫名其妙的IP冲突问题的根源。

1.2 租约概念：为什么IP地址不是永久给终端的

终端拿到IP后，这个地址不是永久归它所有，而是有一个租期（Lease Time）的概念。默认情况下华为设备上地址池的租期一般是1天，思科设备默认也是1天。租期机制的设计考虑是：网络里的终端数量经常变化，如果每个设备都永久占着一个地址，新入网的设备就无地址可用了。

关键的时间节点有两个。第一个是租期过半时（比如租期1天，在第12小时），终端会尝试向原DHCP服务器发送单播的DHCP Request进行续租，如果服务器同意，租期重新从0开始计算。第二个是租期超过87.5%时如果还没续租成功，终端会重新进入广播请求流程，相当于从头再来一次地址分配。我在实际排障中遇到过一种情况：某个终端持续续租失败，但它也不报错，只是到了第24小时整突然断网重新申请IP——若用户报告"每天固定时间掉线"，优先怀疑的就是租约续租问题。

另外要说明的是，终端主动下线时并不会"归还"IP，这个地址要等租期到期后才会被服务器回收，重新进入可用地址池。所以如果你手动把一个地址从地址池里删除，最好先确认这个租约已经释放，否则可能出现地址被服务器记录为"已分配"但实际没人用的浪费情况。

1.3 抓包验证：用Wireshark看一次完整的分配过程

纸上谈兵没意思，我建议你实际操作一次。在PC上打开Wireshark，抓取一个终端从断开网线到重新插上网线的完整过程，你会看到四个报文按顺序出现：Discover、Offer、Request、Ack，这也是DHCP最经典的DORA过程。如果只看抓包不知道怎么分析，最直观的观察点是每个报文里的"Your (client) IP address"字段——Offer里会填上服务器打算分配给终端的地址。

抓包还能帮你验证一个常见的疑问：终端续租的时候用的到底是广播还是单播？在租期过半的续租请求中，如果终端已经有完整的IP配置，它会直接向服务器IP发送单播报文，注意观察这个报文的源IP是终端当前的地址，目的IP是DHCP服务器地址。如果你在交换机上做了抓包，能看到这个单播报文在二层正常转发；但如果中继场景下的地址池网段和终端不在一个广播域，单播续租能不能成功就取决于路由可达性了。这部分在讲中继时我会再展开。

2. 基于全局的DHCP部署：配置步骤与适用场景

2.1 什么样的网络环境适合用全局DHCP

全局DHCP，简单理解就是在交换机上创建一个或多个全局的地址池，所有的接口/子接口/VLANIF接口默认都从这些全局地址池里去"挑选"地址来分配。它和接口DHCP（也叫基于接口的DHCP）最本质的区别在于：全局模式下，一个地址池可以同时服务多个网段，靠的是接口的网关IP来匹配该选哪个池子。

适合用全局模式的场景非常典型：中小企业的办公网，VLAN不多，每个VLAN有独立的网段和网关，网关都在同一台核心交换机上。比如常见的三层架构——终端接入交换机，汇聚交换机做VLAN网关，核心交换机上联出口路由器。这种情况下，你在核心交换机上配置几个全局地址池，每个池对应一个业务网段，然后用命令把地址池和VLANIF接口关联起来，终端就能正常获取地址了。

还有一种更极端的小型场景：整个网络只有一个网段，所有终端都在一个VLAN里。这时用全局模式和接口模式在效果上几乎没有差异，但全局模式下你维护的是"地址池列表"，后续如果突然要增加一个网段，只需要新增一个池然后指到对应的VLANIF上，改动集中、逻辑清晰。

2.2 华为交换机全局DHCP的关键配置命令

直接上配置。以华为的S5700系列交换机的V200R019版本为例，启用全局DHCP的步骤是这样的：

# 第一步：全局使能DHCP服务 [Huawei] dhcp enable # 第二步：创建地址池，进入地址池视图 [Huawei] ip pool office_192_168_10_0 [Huawei-ip-pool-office_192_168_10_0] network 192.168.10.0 mask 24 # 第三步：配置网关与DNS，注意网关必须和VLANIF的IP完全一致 [Huawei-ip-pool-office_192_168_10_0] gateway-list 192.168.10.1 [Huawei-ip-pool-office_192_168_10_0] dns-list 114.114.114.114 8.8.8.8 # 第四步：配置不参与自动分配的地址段，比如服务器和打印机用的保留地址 [Huawei-ip-pool-office_192_168_10_0] excluded-ip-address 192.168.10.1 192.168.10.50 [Huawei-ip-pool-office_192_168_10_0] excluded-ip-address 192.168.10.200 192.168.10.254 # 第五步：退出地址池，在VLANIF接口上应用 [Huawei] interface Vlanif 10 [Huawei-Vlanif10] ip address 192.168.10.1 24 [Huawei-Vlanif10] dhcp select global

这里有几个非常容易踩的坑，我说一下我的排查经验。

• 地址池名称不支持中文和特殊字符，只能由字母、数字和下划线组成，建议命名时带上网段信息和业务属性，比如office_192_168_10_0。
• 必须在系统视图先执行dhcp enable，忘掉这一条是最常见的低级错误，配置看起来全对但终端就是拿不到地址。
• gateway-list必须和VLANIF的接口IP一致，如果这两者不一致，终端拿到网关后会发现自己无法通过这个网关访问外部——抓包看DHCP是成功的，ping网关不通。
• excluded-ip-address的作用是把某些地址排除出自动分配范围。我个人建议至少排除网关本身和末尾一段地址，理由稍后讲。

2.3 全局模式下地址池如何匹配：VLANIF的网关IP是判断依据

在全局DHCP模式下，交换机收到一个来自VLAN 10的DHCP Discover广播后，它要决定把哪个地址池的地址分配给这个终端。华为交换机的处理逻辑是：看Discover报文进入的是哪个VLANIF接口，然后拿VLANIF接口的IP地址和所有地址池里的network网段做匹配——注意，是拿接口IP本身去匹配，不是拿报文里的某个请求字段。

所以有一个结论很重要：如果两个地址池的网段都包含了VLANIF的IP，交换机只会匹配第一个查到的池。比如你有一个192.168.10.0/24的子网划分了VLAN 10和VLAN 20，但VLAN 20的网关是192.168.20.1，它就永远不可能从192.168.10.0/24这个池里分地址。这听起来是废话，但我亲眼见过有同事把两个池子的network配成同一个网段，结果终端随机拿到两个不同网关的配置，网络时通时断。配置全局池时务必保证所有池的network网段不存在任何重叠。

2.4 全局DHCP的局限性：三层接口多、网段多时会变臃肿

全局DHCP适合的场景是"网关集中在核心设备上，网段数量适中"。一旦网络规模变大，你会遇到几个头疼的问题。第一，地址池数量多，命名和管理成本直线上升。第二，局域网里可能存在多台三层设备，每个设备上都要重复配置全局池，维护两边的同步很容易出错。第三，全局模式的扩展性不够灵活——比如你要让某个特殊VLAN（如访客VLAN）从不同的DNS池里取配置，全局模式下你就得为它单独建一个地址池，单独指定DNS，这种"个例化"的配置会让地址池列表变得很长很难看。

如果网络里有这个苗头，建议你直接考虑接口DHCP模式，它更适合"每个接口/每个子接口单独定制分配策略"的场景。接下来详细讲。

3. 基于接口的DHCP部署：什么时候非用它不可

3.1 接口DHCP和全局DHCP的核心差异

接口DHCP，全称是基于接口的DHCP配置。它的工作方式完全不一样——不是在交换机上建一个全局的地址池列表，而是在某个具体的VLANIF接口或三层以太网接口上，直接"内置"一个小型地址池。当这个接口收到DHCP请求时，直接从接口自带的地址池里分配地址。

用类比来理解：全局DHCP就像一个中央仓库，所有接口来申请货物时都从仓库里拿，仓库管理员根据申请者所在的区域（VLANIF）分配合适的货物；接口DHCP则是每个仓库门口自带一小箱备货，来一个终端就直接从箱子拿，不需要走中央仓库的流程。中央仓库灵活但路径长，门口备货直接但管理分散。

在命令层面，两者的对照也很明显：

# 接口DHCP模式的核心配置，直接在接口下完成 interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 dhcp select interface dhcp server dns-list 114.114.114.114 dhcp server excluded-ip-address 192.168.10.1 192.168.10.50

注意dhcp select interface后面的三个参数：dns-list、excluded-ip-address，以及还可以配dhcp server lease修改租期。这些都是在接口视图下直接完成的，不需要进入ip pool视图。

3.2 适合接口DHCP的典型场景

接口DHCP什么时候最合适？从我实际接触过的项目来看，主要有三类场景。

第一类是网络里只有一台或少数几台交换机，每个VLAN各自独立。比如一个中等规模的仓库、车间改造项目，接入层交换机只有1到2台，每个VLAN对应一个物理区域或功能区域，用接口DHCP可以做到每个区域的地址分配参数完全独立，互不干扰。

第二类是地址池参数差异化的场景。比如办公VLAN需要10天的长租期、指定的内部DNS服务器；访客VLAN只需要4小时的短租期、DNS走外部公共DNS；摄像头VLAN甚至要配置成不分配DHCP（手工指定IP）。在接口模式下，这些策略直接在各自接口上写，一眼看过去非常清晰。全局模式下要把所有参数都堆在地址池里，参数冲突时还得小心匹配顺序。

第三类是三层级联网络中在接入交换机上做小范围DHCP的场景。接入交换机不需要和上层核心同步地址池信息，本地接口自己管用户终端的分配。这种情况下用接口模式，配置量小，出问题也好排查——因为地址池和接口是一一对应的，不存在"这个终端到底该匹配哪个池"的疑问。

3.3 接口DHCP的注意点：默认租期、广播域、特殊接口

接口DHCP在实际部署中有几个细节必须提前心里有数。

第一，接口模式下地址池的网段默认等于接口本身的网段。也就是说，VLANIF 10的地址是192.168.10.1/24，那么接口DHCP地址池默认就是从192.168.10.2到192.168.10.254这段，网关自动就是192.168.10.1。你不需要也不能去指定network网段——它天然跟着接口走。这就意味着有些人对接口DHCP的误解（"接口模式比全局模式少一个网关配置"）其实是对的，但它同时也意味着如果你想给这个接口分配一个不同网段的地址池，接口DHCP就办不到了，必须回到全局模式或中继模式。

第二，接口DHCP支持在三层以太网接口（如GE0/0/1）上配置，也就是说如果交换机上有个直连的防火墙或者服务器，这个接口可以直接分配地址。华为交换机的dhcp select interface命令既能写在VLANIF接口上，也能写在物理三层接口上。但注意：如果你把某个物理接口配成了二层口（默认状态），它是没法配置dhcp select interface的，必须先转换为三层接口。

第三，接口模式下如果要指定不分配的地址段，记得排除网关本身以及你预留给打印机、AP、IP电话等设备的地址。这个习惯和全局模式一样重要，但接口模式下很多人会忽略配置excluded-ip-address，结果网关IP被分配出去导致连通性故障。

4. DHCP中继：一个地址池服务整个内网

4.1 中继的底层逻辑：广播不能跨网段，但DHCP可以跨

前面提到过，DHCP分配过程中有大量的广播报文，而广播报文本身没法穿过三层设备（路由器）到达其他网段。如果一个DHCP服务器在核心机房，而终端的网关在另一台交换机上，终端发出的Discover广播到了网关后就没了下文——因为网关不是DHCP服务器，它不会回应。这时就需要DHCP中继（DHCP Relay）这个技术来桥接。

中继的原理非常巧妙。作为中继的设备（通常是终端所在网段的网关交换机或路由器）收到广播的DHCP Discover报文后，并不会直接丢弃，而是将报文里的"目标地址"从广播地址改写为DHCP服务器的单播IP地址，同时把报文的源IP改为自己（网关）的IP。服务器回应的报文也先到达中继设备，再通过广播或单播转发给原始的终端。这样一来，物理上位于不同网段的终端和服务器之间就能完成一次完整的DORA交互，且终端完全感知不到服务器在远端。

用生活化一点的类比：广播就相当于在楼道里喊话，喊声只能传到同楼层的邻居；中继则相当于楼道管家，听到住户喊话后打电话转告给小区的总物业，物业再通过管家把答复传达回来。终端不需要知道物业在哪，只需要知道管家能传话就行。

4.2 华为交换机上配置DHCP中继的完整流程

在华为交换机上启用DHCP中继的基本步骤，我用一个实际的例子来讲。假设核心交换机上有一台DHCP服务器，地址是192.168.100.10，服务器地址池网段设置成分散在多个VLAN里的子网。我们要在汇聚交换机上，让VLAN 20的终端能够通过中继从这台服务器获取192.168.20.0/24网段的地址。

# 在汇聚交换机的VLANIF接口上启用DHCP中继，指向远端服务器 interface Vlanif 20 ip address 192.168.20.1 255.255.255.0 dhcp select relay dhcp relay server-ip 192.168.100.10

这里关键的配置就三行：dhcp select relay表示这个接口使用中继模式，dhcp relay server-ip指定服务器地址。如果有多台服务器做冗余，可以重复写多条dhcp relay server-ip命令，最多支持配置4个服务器地址，终端请求会依次尝试。

中继模式下地址池并不在本机上，所以你需要额外确认几个前提条件。

• 本机上的路由表必须能到达192.168.100.10，也就是要确保交换机到服务器的路由可达。
• 如果终端和服务器之间的路径上还有别的三层设备，需要保证DHCP服务器回应报文的路径上没有过滤DHCP报文的ACL。华为设备默认不拦截DHCP报文，但如果你自己写过ACL，要重点检查。
• DHCP服务器端看到的终端地址池请求来源会是"中继设备的接口IP"，即192.168.20.1，不是终端的IP。服务器要根据这个信息来匹配相应的地址池，所以地址池创建时要仔细对应各网段。

4.3 中继场景下最容易翻车的三个配置问题

我实际配置中继时吃过好几次亏，总结下来，90%的问题都出在以下三个地方。

第一个问题是中继设备两端的VLANIF上没有配置正确的网关IP。DHCP中继报文里有一个字段叫GIADDR（Gateway IP Address），它由中继设备自动填成接口的IP。服务器是靠这个GIADDR的值来决定从哪个网段的地址池里分地址的。如果VLANIF的IP配错了，或者设备上存在多个接口且中继选错了出接口，服务器就会从错误的地址池里分配，导致终端拿到一个和自己网段完全不符的地址，甚至无法通信。

第二个问题是路由不可达。中继设备自己到DHCP服务器的路由断了，报文发不出去，终端一直处于Discover状态。这个现象排查起来很迷惑，因为终端侧的抓包能看到Discover一直在发，但服务器侧一无所获。建议先在交换机上用ping测试到服务器地址的连通性，如果ping不通，先解决路由，再说DHCP。

第三个问题，也是很多初级工程师直接卡死的点——服务器侧的地址池必须包含对应网段的配置。举个例子，中继设备是192.168.20.1/24，服务器上必须有一个地址池，它的network设置为192.168.20.0/24，gateway-list要填192.168.20.1。这个网关不能随便填，因为终端拿到DHCP分配的地址后，它要把默认网关设置为这个值。到时候如果要走中继，地址池里的网关和中继接口的IP必须保持一致，这两处不对齐的话终端即便拿到IP也出不了网。

4.4 中继的取舍：什么时候该上中继，什么时候不该

中继最大的价值在于把DHCP服务器集中化——你只需要在一台服务器上维护一份完整的地址池规划，所有网段的分配策略都集中管理，终端侧无需部署任何服务器。这对网络规模大、需要通过Windows Server或专业DHCP服务器做统一管理的场景特别合适。

但中继也有它的代价。第一是部署复杂度，你需要额外规划一台DHCP服务器（物理机或虚拟机），并承担它的可用性维护成本。第二是增加了故障排查链路——终端、接入交换机、汇聚交换机、服务器，每一跳都有可能是故障点。第三是如果终端所在的接入交换机本身无法配置中继（比如非网管交换机），那你只能在汇聚或核心上做，接入到汇聚之间的二层链路成了DHCP广播能否抵达的关键。

所以我个人的经验判断是：如果网络里只有一台三层设备、VLAN数量不超过10个、又没有集中管理DNS和DHCP的合规要求，直接用全局DHCP或接口DHCP就够了，别为了"规范"盲目上中继。反过来，网络里有分公司、部门VLAN多、终端数量大、后续很可能要扩充网段，那趁早规划中继，把服务器集中化，能省下后面大量逐台设备维护的力气。

5. 交换机部署DHCP的完整实战：地址池规划、租期设计与冲突排查

5.1 一个真实案例：单台核心交换机上怎样同时管好办公、无线和访客三个网段

讲原理和命令终究是纸上谈兵，我用自己的一个实际项目来演示完整的部署思路。40多人的设计公司办公网，规模不大，核心是华为S5720交换机，出口一台路由器做NAT上网。网络里规划了三个VLAN：VLAN 10办公区（有线终端，约30台PC），VLAN 20无线办公区（约15个无线终端，通过AP接入），VLAN 30访客网络（临时客户上网用，最多同时5人）。

第一步是确定各网段的核心参数，我做了这样一张规划表：

为什么这么设计？有几处是踩过坑后的经验总结。办公有线网络里我排除掉了192.168.10.1~50，是因为打印区、前台展示机、门禁控制器这些设备不想让它们频繁变动地址；排除192.168.10.200~254是为了给将来可能新增的服务器预留扩展空间。另外访客网络采用4小时短租期，可以让流动的访客终端地址快速回收，避免长时间占用地址池造成浪费。

然后在交换机上的配置思路是：办公有线VLAN 10和办公无线VLAN 20使用全局DHCP，因为它们的网关都在核心交换机上、地址池规划是标准的"整网段分配"；而访客VLAN 30使用接口DHCP，给它单独配置短租期和公共DNS，不需要进入全局池的匹配流程，参数独立、管理直观。

完整配置如下：

dhcp enable # 办公有线地址池 ip pool vlan10_office network 192.168.10.0 mask 24 gateway-list 192.168.10.1 dns-list 10.10.0.2 114.114.114.114 excluded-ip-address 192.168.10.1 192.168.10.50 excluded-ip-address 192.168.10.200 192.168.10.254 # 办公无线地址池 ip pool vlan20_wifi network 192.168.20.0 mask 24 gateway-list 192.168.20.1 dns-list 10.10.0.2 114.114.114.114 excluded-ip-address 192.168.20.1 192.168.20.1 interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 dhcp select global interface Vlanif 20 ip address 192.168.20.1 255.255.255.0 dhcp select global interface Vlanif 30 ip address 192.168.30.1 255.255.255.0 dhcp select interface dhcp server dns-list 114.114.114.114 8.8.8.8 dhcp server excluded-ip-address 192.168.30.1 192.168.30.1 dhcp server lease day 0 hour 4 minute 0

这套配置上线后稳定运行了大半年，没有接到过跟地址分配相关的报障。你要是照抄这套思路部署自己的小网络，我建议把DNS和自己的公司内部DNS地址对齐，别照着我的10.10.0.2直接用，那是我内网的地址，你抄过去会出DNS解析问题。

5.2 地址池管理的深层技巧：预留、回收和监控

地址池看着是一个简单的"可用地址范围"，但实际运维中需要盯的事情不少。

首先是预留策略。我前面提到排除地址段，这里再往深讲一层。排除地址不只是为了"不分配"，更是为了给固定IP设备留位置。打印机、考勤机、监控摄像头这些设备，我建议都给它们手工配置固定IP，并把它们放在排除段里。这样既避免了IP冲突，又方便后期在设备上直接定位。排除段的大小根据固定IP设备的数量来定，一般至少留20到30个地址。

其次是租期设置。租期没有标准答案，完全取决于网络的容量和流动性。终端数量接近地址池上限时，建议缩短租期到4~8小时，让空置地址尽快回收再分配；终端数量远小于地址池上限时，租期设长点（2到3天）可以减少DHCP续租产生的广播流量，也减少终端因续租失败导致掉线的概率。访客网络、临时展会的网络一律短租期，几百个人进进出出的场景下半天不回收地址必然不够分。

第三是监控手段。华为交换机上查看地址池使用情况用display ip pool，能看到每个池的总地址数、已分配数、冲突数和空闲数。建议每周扫一眼，如果某个池的使用率长期超过80%，趁早扩容或调整租期，别等终端开始报"获取不到IP"了才动手。另外display dhcp server statistics这个命令可以统计交换机作为DHCP服务器时收发的报文数量，Report状态里的BadPacket数量如果明显增长，说明网络里可能有非法DHCP报文或者配置有冲突。

5.3 内网已有一台物理DHCP服务器时，交换机该怎么配合

这个话题在需求里被点名了，实际工作中也确实经常遇到——网络里已经存在一台Windows Server或Linux服务器跑的DHCP服务，现在想在交换机上做配合，该怎么办。

最大的原则是：如果服务器已经能正常分配地址，就别在交换机上启用DHCP服务去抢活。交换机只用做二层透传和中继，不要执行dhcp enable（或至少在所需VLAN里不要选select global/interface）。否则一台上线的交换机会和服务器抢答，终端在两个Offer里选一个，地址分配就全乱套了。

具体配置分两种情况。

如果是服务器和终端在同一个广播域（同一个VLAN），交换机不需要做任何DHCP配置，只要保证对应VLAN和端口配置正确，广播能到达服务器即可。唯一要留意的是如果华为交换机开启过DHCP Snooping功能，它默认可能放行DHCP报文，如果开了这个功能且没有配置信任端口，终端发往服务器的报文可能被拦截。这时候要在连接服务器的端口上配置dhcp snooping trusted。

如果是服务器和终端在不同网段，交换机需要做中继，配置就回到前面讲的中继流程。核心是你必须清楚这台服务器是怎么划分地址池的——Windows Server的DHCP控制台里，每个作用域（Scope）对应一个网段，它的网关选项必须填对应网段的中继接口IP。交换机上只需要在对应的VLANIF下指定dhcp select relay和服务器IP即可。

这里有个常见的坑：中继接口IP和物理DHCP服务器不在同一网段时，中继报文能否到达服务器取决于路由。如果服务器本身还兼着防火墙或者配置了端口过滤，一定要确认UDP 67/68端口对中继设备开放。DHCP中继走的是UDP协议，源端口68、目的端口67是标准端口，但很多服务器安全策略默认不放行非本机的DHCP流量。

5.4 IP冲突排查：地址池之外的那些脏活

地址池设计得再好，IP冲突还是会以各种意想不到的方式出现。我把自己踩过和见过的高频冲突类型总结了几种，供你排查时对照。

第一种是手工IP撞上DHCP分配地址。某台打印机被人手工指定成了192.168.10.100，而这个地址又在DHCP池的分配范围内，终端随机拿到同样的地址后就发生冲突。这类冲突的典型特征是两个设备间歇性掉线，ARP表中这个IP的MAC地址跳来跳去。预防的办法就是我前面讲的，把所有固定IP设备统一规划、统一放在排除段里。

第二种是多个DHCP服务器并存。内网里有人自己接了个家用路由器，WAN口接内网，LAN口没关DHCP，于是这个路由器的LAN网段也在对外分配地址。终端如果先收到这个路由器的Offer，就会拿到一个非法网段的IP直接上不了网。排查的手法是在交换机的上联口抓包看DHCP Offer的来源，看是否有非预期设备的MAC在回应。彻底的办法是把接入层的无用端口关闭或做端口隔离，有条件的上一套DHCP Snooping，只信任有线连接服务器的端口。

第三种是地址池撑爆但不报警。地址池里全部地址都被占了，新终端一直在发Discover但收不到Offer，用户感知是"连不上网"，但交换机日志不会有明显报错。排查时看display ip pool里Utilization字段，如果接近100%，基本就是这个问题。快速缓解的办法是临时调短租期，让空置地址回收，或者扩容网段。但根本解决办法是在规划地址池时结合实际终端数量预留20%~30%的冗余。

6. 排错经验汇总：从现象到根因的判断路径

6.1 终端显示"无互联网访问"但DHCP抓包正常

这个现象很典型：终端能获取到IP、掩码、网关、DNS都正确，但就是上不了网。第一步先排除不是DHCP的问题——毕竟DHCP已经成功完成，如果网关不通或者DNS解析不了，那是路由和DNS配置的问题。

需要检查的依次是：终端能不能ping通网关192.168.10.1，通不通说明二层和本机路由正常，不通说明网关VLANIF配置有问题，或者接入交换机到核心之间VLAN的Trunk没放行。然后ping114.114.114.114不通则检查出口NAT设备和路由表，通的话再ping域名验证DNS。这套顺序基本能把90%的"拿到地址但上不了网"问题定位出来。

别忘了一个容易忽略的点：DHCP服务器下发的DNS如果配错了，会出现典型的"能上QQ但不能开网页"现象——解析域名失败的终端在外人看起来就是"断网了"，但它其实是"DNS坏了"。

6.2 部分终端能获取IP、部分终端不行

同一个VLAN里有的终端能拿到地址，有的拿不到，这个问题困扰过不少人。排查路径我建议按这个顺序走。

先看分配失败终端的接入方式。如果它接在傻瓜交换机下面，而这个傻瓜交换机又级联了一长串，DHCP广播在这个链路里可能因为环路或MAC表混乱而丢失。华为设备如果有STP异常也可能影响——DHCP广播在二层正常转发，但STP阻塞了某个冗余链路，导致广播从另一条路径走，最终无法到达服务器或核心。

再看接入交换机端口本身。如果你在端口上配置过port-security或开启了DHCP Snooping但没配置信任端口，DHCP报文会被过滤。检查方式是display dhcp snooping user-binding brief看终端是否在绑定表里。

还有一类不太容易发现的情况：终端的网卡被客户自己装了虚拟机软件（VMware、VirtualBox等），多了一块虚拟网卡抢跑，导致物理网卡的DHCP请求时序异常。这类问题通常在重装网卡驱动或卸载虚拟网卡后解决。

6.3 交换机侧快速定位DHCP问题的常用命令

在实际排障中，我常用的交换机命令就这么几条，记住它们基本就够用了。

# 查看地址池使用情况和冲突计数 display ip pool # 查看DHCP服务器收发报文统计，重点关注BadPacket计数 display dhcp server statistics # 查看全局DHCP或接口DHCP的配置是否生效 display dhcp configuration # 查看接口下DHCP相关配置（如果是接口模式或中继模式） display current-configuration interface Vlanif 10 # 查看DHCP Snooping状态和绑定表 display dhcp snooping display dhcp snooping user-binding brief # 查看终端获取地址的详细过程，用debug抓取，适合逐个终端排查 debugging dhcp server event

debugging dhcp server event这个命令打开后会在交换机上实时打印DHCP事件的日志，能清楚看到交换机到底有没有收到终端的Discover报文、有没有回Offer、报文从哪里进来的。当然这个命令在生产环境慎用，打印量很大，建议在排除特定终端问题时临时开启，完事立刻关闭。

6.4 一个典型的"中继模式下终端获取不到地址"的全过程排查案例

最后分享一个真实案例，这个案例基本涵盖了中继排查的完整思路，你照着走一遍应该能省下很多摸索时间。

某分公司办公VLAN里的终端全部反馈无法获取IP。网络结构是分公司的一台汇聚交换机通过三层路由连到总部的DHCP服务器，服务器在192.168.100.0/24网段。分公司VLAN 20的终端网关在汇聚交换机的VLANIF 20上，接口已经配置了dhcp select relay和dhcp relay server-ip 192.168.100.10。

我排查的第一步是看终端侧抓包，确认Discover报文确实在发。第二步登录汇聚交换机，确认VLANIF 20的IP和接口配置正常。接着我直接做了一个关键测试：在交换机上ping192.168.100.10，结果超时——说明汇聚交换机到DHCP服务器之间的路由已经断了。查路由表发现去往192.168.100.0/24的静态路由写错了下一跳，指向了一台已经停机的设备。修正静态路由后重新ping通，再让终端释放续租，地址分配马上恢复正常。

这类问题的排查逻辑其实很简单：先确认终端到交换机通不通，再确认交换机到服务器通不通，一层层往外扩。中继模式下最容易让人觉得"配置都对但就是不通"的，就是某一段路没有按照预期通，这段路往往不是DHCP协议本身的问题，而是一个基础网络连通性的问题。

最后分享两个日常运维里非常实用的小技巧

第一个技巧：改动DHCP配置后不要急着让所有终端同步验证。你可以在一台测试终端上用ipconfig /release和ipconfig /renew（Windows）或者dhclient -r && dhclient（Linux）来强制触发一次完整的地址获取流程，看能不能拿到预期地址，确认无误后再批量操作。这能避免在全员办公时段改配置导致大面积瞬断。

第二个技巧：在地址池里把网络基础设施设备（AP、摄像头、门禁控制器等）都规划好固定的排除地址，并在一个Excel表里集中登记"MAC地址-IP地址-设备名称"，这个表维护好了能省掉大量找设备、查冲突的时间。我自己的习惯是每年巡检时把这个表和交换机上的ARP表做一次比对，发现异常的绑定关系立刻就能定位到具体端口。这种"笨办法"在老网络里远比你临时上抓包去查冲突来得高效。