DHCP服务器配置与故障排查全指南：从DORA流程到地址池规划

如果你维护过一台几十号人的办公网络，大概率碰到过这种场景：新同事入职要上网，先想方设法给他找IP；打印机今天好明天坏，查了半天发现是地址冲突；无线换了个AP，全场手机瞬间全部掉线。这些问题单个看都不大，但凑在一起足以把一个下午耗得干干净净。把它们一起解决掉的东西，就是一台配置得当的DHCP服务器。

这篇文章不打算照抄教科书定义，而是从实际搭网络、修网络的角度，把DHCP的分配流程、地址池设计、服务端搭建、故障排查从头到尾过一遍。适合刚入行的网络管理员，也适合被IP冲突折磨过很多次的桌面运维。看完之后，你能自己在Linux上搭一台能用的DHCP服务器，也能在用户喊“上不了网”的时候，快速判断问题出在哪一环。

1. 先弄清楚：DHCP服务器到底在解决什么问题

1.1 手动配IP时代的痛点

在没有DHCP的环境里，每台设备要上网，都得人工分配一组参数：IP地址、子网掩码、默认网关、DNS服务器。听起来不难，但它是个纯细心活，而且极考验人的耐性。一个人离职、一个新设备加入、一个设备长期开着忘记释放地址，整个分配表就乱了。我用实际经历说明一下：某办公网最初是手动管理，大约五十台电脑加上打印机和无线设备，每个月至少出三四次地址冲突，每次都要挨个检查设备，再改配置重启，一来一回大半天就没了。

这种模式的问题还不止“累”，更麻烦的是它的不可控。网关的IP会不会被某台笔记本占用，谁也不知道；DNS配错一个数字，用户那边上网就时好时坏；一台设备开了几天，你甚至搞不清楚它到底用没占用某个IP。所谓网络管理，在这种状态下基本等于“救火”。后来改成DHCP统一分配，整个人都轻松了，维护成本直线下降。

1.2 DHCP服务器能自动分配什么

DHCP的核心作用，是把原本属于工程师的“手工登记分发”工作，变成一套自动化的流程。它能下发的参数包括：

• IPv4地址
• 子网掩码
• 默认网关
• DNS服务器
• 域名后缀
• PXE引导信息、NTP时间服务器、VOIP话机参数等扩展选项

除了自动分配，它还能集中管理租约记录——哪台设备在什么时间拿到了什么地址，都是可查的。比如某台办公电脑开机后IP发生变化，你去看租约文件，能明确看到它是续租了还是重新获取。这种审计能力在手工时代几乎不现实，机器多了之后尤其重要。

1.3 它的边界在哪里

DHCP不是万能的，这一点提前说清楚，可以少走很多弯路。

第一，它只解决动态配置，不适合给核心服务器完全放养。按照通用实践，服务器、网络设备、打印机等需要固定地址的设备，通常用“保留绑定”的方式来管理，而不是碰运气抢动态池。

第二，它默认只在一个广播域内工作，跨网段必须有DHCP中继，不然广播到不了服务器。

第三，它不验证客户端的“身份”。任何人都可以让自己的设备接入网络获得地址，这是便利，也是安全隐患，所以生产环境中通常搭配Snooping等防护机制一起用。

搞懂边界，你就明白为什么学DHCP不能只学会怎么装服务，还得学会地址规划、中继配置和安全加固。

2. 把DORA流程拆给新手听：DHCP如何“发”地址

2.1 DORA四步握手全过程

DHCP分配地址的过程，用四个字母概括：DORA，Discover、Offer、Request、Ack。我习惯把它类比成去酒店前台办理入住。

第一步Discover，客户端还没有任何地址，源地址是0.0.0.0，目的地址是广播255.255.255.255，它等于在大堂喊了一声：“没有房间，谁给我安排一下？”这个广播只有当前广播域内的人能听到，这也是为什么跨网段要特殊处理。

第二步Offer，服务器收到后，从自己的地址池里挑一个可用IP，连同子网掩码、网关、DNS等信息一起发给客户端。相当于前台说：“现在有一间102号房，这是房卡和入住须知。”

第三步Request，客户端收到了一个或多个Offer（如果网络里有多台DHCP服务器），它会选一个，然后广播这个消息：“我决定用102号房。”注意这里依然是广播，目的是告诉其他服务器“你们给的房间我不需要了，可以收回”。这一步可以有效减少网络中Offer冲突。

第四步Ack，最终被选中的服务器确认，把租约期限写清楚。此时客户端才真正开始使用这个地址。

这套流程在实际抓包中基本能完整看到。如果某一步断了，故障点完全不同，这也是后面排查的重要依据。

2.2 租约、续租与回收

DHCP给出的地址不是“买断”，而是“租赁”。服务器在Ack里会告诉客户端一个租约时长。租约过半时，客户端会主动向服务器单播续租请求；如果没成功，到租约87.5%时会再次尝试广播续租；实在续不上，租约到期之后客户端停用该地址，重新走一遍DORA。

为什么设计成“租赁”而不是“永久分配”？因为网络中接入设备是流动的，一台上网卡带着笔记本进公司，用完就走了，如果地址不回收，地址池很快被历史设备占满。有了租约机制，IP才能循环使用。

默认租约时长怎么定？办公网一般可以设长一点，比如8小时甚至1天，减少不必要的广播流量；临时访客场景建议设短，比如30分钟到2小时，用完立刻回收。这是我在实际配置中的经验：不要为了省事把租约设成无限期，地址回收能力会完全丧失。

2.3 排障时怎么用DORA定位问题

DORA的每步都有特定意义。我在排查“用户拿不到IP”的时候，第一步就是抓包看卡在哪：

• 如果客户端发出Discover，但没有收到任何Offer，问题在服务器侧，比如服务没跑、监听接口错了、地址池没有对应网段。
• 如果收到Offer，但Request发不出去，问题可能在客户端的本地网卡配置。
• 如果Request发出去了，却没有收到Ack，有时是服务器租约文件读写异常，也可能是中间设备过滤了某些报文。

有一次某公司无线设备获取不到地址，但同一网段有线是好的。我抓包后发现无线客户端发出的Discover根本没到服务器，最后定位是交换机对无线AP上联口开了端口隔离，广播被丢弃了。如果没有DORA这个分析框架，这种问题很难快速找到方向。

3. 动手前必须搞懂的配置参数：地址池、保留与选项

3.1 地址池规划是第一步

很多新手做DHCP配置，习惯把整个子网直接丢进动态分配范围，这是最大的隐患。比如网关192.168.10.1，交换机、服务器、打印机等设备全配成静态IP，但DHCP的range却设成了192.168.10.1到192.168.10.254，冲突几乎是必然的。

我做地址池规划时，习惯把网段分成几个区域，而且会先排除所有需要固定地址的设备，再给DHCP画一个明确的范围。一个典型的小型办公网规划如下：

用途	地址范围	管理方式
网关、交换机、基础设施	.1 - .50	静态排除
动态分配终端	.100 - .200	DHCP range
打印机、摄像头、门禁等固定设备	.201 - .250	DHCP保留绑定
空闲备用	其他	暂时不分配

这样的好处是，用户收到了一个地址，直接就能看出它属于哪个功能段，排障时少绕很多弯。地址池宁小勿大，不需要把剩余所有地址都拿来做动态。

3.2 那几个option选项的含义

DHCP里最容易让人混淆的就是各种option。我挑几个必配的说明白：

• option routers：下发默认网关。用户设备要访问其他网段或互联网，必须靠它。很多“能上内网但上不了外网”的问题，都是这个选项没配好。
• option domain-name-servers：下发DNS服务器地址。可以配置多个，优先级按顺序。
• option domain-name：下发域名后缀。比如配成内部域名，客户端解析短主机名时会自动补齐后缀。
• default-lease-time与max-lease-time：分别指默认租约和最长租约。max主要做上限限制，防止某类设备把租约拖得过长。

这些option可以在全局配置，也可以在子网内部覆盖。作用范围不同：写在全局影响所有子网；写在子网内部只影响当前子网。生产环境里，我习惯把全局只放公共字段，各子网单独写自己的网关和特殊选项，便于维护。

3.3 什么时候用保留（reservation）

如果打印机、门禁控制器、安防摄像头这类设备，地址经常变，后果可不只是“打印不了”这么简单。摄像头如果绑定了固定IP做端口映射，地址一变，远程访问全部失效。

保留绑定是通过MAC地址把某个IP固定给指定设备。它是DHCP服务端记录的映射：只要这个MAC的请求到了服务器，就把配置好的固定地址返回给它。好处是地址仍然由DHCP统一管理，不会出现手工静态地址和DHCP池冲突的情况。

实际配置时有个细节：MAC地址的写法要对，比如“00:11:22:33:44:55”这种格式，不同软件略有差异，我在ISC DHCP里常用小写冒号分隔，避免大小写问题。

3.4 跨网段的DHCP：中继

很多人搭好DHCP后发现：同一个VLAN里的设备能获得地址，其他VLAN死活不行。原因很简单，DHCP Discover是广播，三层设备默认不转发广播。

解决办法是在三层交换机或路由器上启用DHCP中继，也叫IP Helper。比如VLAN 10的网关接口上，配置一句：ip helper-address 指向DHCP服务器的IP。这样三层设备会把VLAN 10的DHCP广播转为单播发给服务器，服务器再把应答发回中继，由中继转给客户端。

同时，DHCP服务器里必须为每个需要服务的网段单独配置subnet和range。服务器收到中继转发的请求时，会根据中继接口IP判断该分配哪个地址池。这一块是新手最容易漏的：中继配了，但服务器上没有对应网段的配置，照样拿不到地址。

4. 实操：在Linux上搭一台能用的DHCP服务器

4.1 选型：ISC DHCP、dnsmasq、Kea怎么选

Linux下常见的选择有三个：ISC DHCP Server、dnsmasq、Kea DHCP。它们定位不太一样。

软件	适合场景	特点
ISC DHCP Server	传统网络，学习练手	配置直观、文档多、功能全面
dnsmasq	小型网络、路由器固件	轻量，内置DNS转发和DHCP
Kea DHCP	大规模、需要API	新架构、多线程、支持高可用

如果是为了学习，我建议先用ISC DHCP Server，资料最多，踩了坑搜得到答案；如果是在生产环境规划一个几百上千人的网络，可以参考Kea，它的可扩展性和性能更好；如果是家庭路由、门店小网，dnsmasq一把梭即可。

下文实操以ISC DHCP Server为例，原因是它最经典、细节最透明，适合理解原理。

4.2 安装与接口配置

在Debian或Ubuntu系统上安装很直接：

sudo apt update sudo apt install isc-dhcp-server

安装后系统会自动启动服务，但因为默认配置不完整，大概率会启动失败。这是正常现象，不用慌。

接着要告诉DHCP服务监听哪个网卡。修改/etc/default/isc-dhcp-server文件：

INTERFACESv4="eth0"

这里填服务器上连接内网的真实网卡。如果服务器有多块网卡，只填应该提供DHCP服务的那个。填错的话，服务会监听在了错误的接口上，导致对外不可达。

检查服务状态可以用：

systemctl status isc-dhcp-server

4.3 办公网完整配置实例

配置文件是/etc/dhcp/dhcpd.conf。以下是我在一个模拟办公项目中使用的配置模板，可以对照着理解：

# 全局配置 option domain-name "corp.example"; option domain-name-servers 10.10.1.2, 10.10.1.3; default-lease-time 7200; max-lease-time 86400; authoritative; # 办公室网段 subnet 10.10.1.0 netmask 255.255.255.0 { range 10.10.1.100 10.10.1.200; option routers 10.10.1.1; option broadcast-address 10.10.1.255; } # 打印机保留地址 host printer-01 { hardware ethernet 00:11:22:33:44:55; fixed-address 10.10.1.201; }

说明几个关键点：

• option domain-name-servers：配了两个DNS，分别为主备。
• default-lease-time 7200表示默认租约2小时，max-lease-time 86400表示最长1天。办公网日常可以接受。
• authoritative：这个选项很重要。它让服务器在收到不属于自己管理范围的请求时，明确回复不分配，而不是沉默，能有效减少客户端一直等待的问题。
• range只圈了100到200，避免覆盖网关和基础设施段。
• host块做了打印机保留。

修改完配置，先做语法检查再重启：

sudo dhcpd -t -cf /etc/dhcp/dhcpd.conf sudo systemctl restart isc-dhcp-server

4.4 客户端验证与租约查看

客户端如果是一台Windows电脑，把网卡设为自动获取IP，然后执行：

ipconfig /release ipconfig /renew ipconfig /all

如果配置正确，你会看到IP地址落在10.10.1.100-200区间，网关是10.10.1.1，DNS是10.10.1.2和10.10.1.3。此时ping网关和DNS都应该是通的。

在服务器端查看租约文件：

sudo tail -f /var/lib/dhcp/dhcpd.leases

这个文件会记录每个分配出去的地址、MAC、获取时间和到期时间。排查地址问题时，这个文件就是第一手证据。

Linux客户端也可以用dhclient手动测试：

sudo dhclient -v eth0

加-v参数能直接看到请求过程，非常直观。

4.5 改配置前的语法检查

这个习惯我强烈建议养成：每次改动dhcpd.conf之前，先备份原文件，再运行语法检查。

sudo cp /etc/dhcp/dhcpd.conf /etc/dhcp/dhcpd.conf.bak sudo dhcpd -t -cf /etc/dhcp/dhcpd.conf

语法检查通过后，重启服务，立刻看日志确认没有报错：

sudo journalctl -u isc-dhcp-server -f

你看到的常见错误其实很容易提前避免，比如少了括号、漏了分号、选项写错名字。一个小标点能让整个服务起不来，这也是ISC DHCP最常见的坑，没有之一。

5. 常见问题与排查技巧实录

5.1 客户端一直拿不到地址，先按这个顺序查

我排查这类问题时，基本按下面这个顺序走，效率很高：

先看服务本身是不是活的：

systemctl status isc-dhcp-server

如果服务是active但客户端就是获取不到，先检查监听接口和UDP 67端口是否正常：

ss -ulpn | grep :67

然后检查服务器配置里有没有客户端所在网段的subnet块。比如客户端在192.168.20.0/24，但服务器只配置了10.10.1.0/24，那它永远拿不到地址。

接着看服务端防火墙，UDP 67入站要放行。很多新装的服务器默认防火墙规则没加这一条，服务本身正常，外面就是过不来。

最后抓包确认：

sudo tcpdump -i eth0 -nn port 67 or port 68 -v

这个命令会显示DORA四个阶段的报文。如果只看到Discover没有Offer，问题在服务端；如果Discover都没看到，问题在链路或交换机策略上。

5.2 地址冲突或分配出重复IP

地址冲突大多数时候不是DHCP本身的逻辑错误，而是静态设备和DHCP动态池重叠了。比如某人给一台服务器手工配了192.168.10.150，但DHCP的range是100到200，这台服务器又恰好开机比DHCP晚，那么分配的地址就可能和它冲突。

正确的预防方法是前面说的：把所有静态设备排除在动态池之外。如果已经发生冲突，先用ping测试待排查地址：

ping 192.168.10.150

如果通了且MAC不是DHCP租约文件里那台，说明网内存在手工占用。

另一个容易忽略的点是租约文件里的过期记录，某些异常情况下客户端还在用旧地址，但服务器已经把它重新分配了。遇到这种场景，我会临时把租约改成更短的时间，等客户端续租后恢复正常再改回来。

5.3 拿到了IP但上不了网，网关与DNS选项不对

这种情况最迷惑人，因为DHCP看起来成功了，地址已经拿到，但网络就是不通。

先检查网关。如果用户能访问同网段的设备，但上不了外网，优先看option routers是否正确。网关地址配错一个数，所有跨网段流量全部走错。

再检查DNS。用户能上微信但打开网页提示找不到服务器，很可能是DNS不可达或解析异常。在用户电脑上执行：

nslookup www.example.com

如果解析失败，确认DHCP下发的DNS地址是否能被访问，以及DNS服务器是不是已经挂了。

还有一种情况是客户端网卡手工设置过DNS，会覆盖DHCP下发的DNS。Windows系统里“自动获取DNS服务器地址”没勾选，DHCP配了也白配。这个不一定是DHCP服务器的锅，但排障时也要能识别出来。

5.4 排查工具速查表

平时排障我经常用下面这些命令，按场景分类整理一下：

场景	命令	说明
Linux客户端调试	dhclient -v eth0	查看获取过程
Windows查看租约	ipconfig /all	查看当前地址与租约时间
Windows重新获取	ipconfig /release && ipconfig /renew	主动续租
查看服务器日志	journalctl -u isc-dhcp-server -f	实时跟踪
查看租约文件	cat /var/lib/dhcp/dhcpd.leases	查看分配记录
抓包分析	tcpdump -i eth0 -nn port 67 or port 68 -v	看DORA流程
检查服务监听	ss -ulpn	grep :67

这些命令不需要全部记，但至少在排查的时候知道有这些工具可以用，比盲目重启服务要靠谱得多。

5.5 几个能“保命”的运维习惯

在真实环境里维护DHCP，有几个习惯我觉得特别值得养成：

第一，每次配置变更必须留备份和注释。同一台服务器上可能管理着好几个网段，时间一长，当初为什么划分这个地址池、为什么排除某段，完全不记得。配置文件里写清楚注释，能救未来的自己。

第二，地址池使用率要有监控。DHCP最怕地址池耗尽，一旦耗尽，新设备全部拿不到地址。可以在服务器上写脚本定时统计租约数量，超过阈值就报警。

第三，日志一定要留存。DHCP的日志量不大，但很关键。集中收集到日志服务器，出问题的时候回溯时间线，比现场猜原因高效得多。

第四，坚决不要在网络里同时放两个非协作的DHCP服务器。一旦两台服务器都回答，客户端可能拿到不同网段的地址，全线拥堵，而且非常难查。高可用方案要用failover机制，而不是简单部署两台互不通信的实例。

6. 进阶：DHCP安全加固与多网段实践

6.1 防伪DHCP：Snooping

网络中如果被插了一台私接的WiFi路由器，它很可能自带DHCP功能，向整个广播域分发错误的网关和DNS地址，导致大量用户上不了网甚至被中间人劫持。这属于典型的防伪DHCP问题。

常见的应对手段是交换机上的DHCP Snooping。开启后，交换机只信任指定接口（通常是上联到核心/合法DHCP服务器的接口）收到的DHCP Offer和Ack，其他接口收到的服务器报文一律丢弃，同时还会建立IP-MAC绑定表，进一步限制欺骗。

配置很简单，但需要注意：不信任口上的设备发出的Discover和Request必须放行，否则合法设备也拿不到IP。刚开Snooping时出现大面积获取失败，八成是放行规则写错了方向。

6.2 防止地址池耗尽

地址池耗尽在开放型网络里很常见。访客轮流接入，每台设备都拿着租约不放，池子很快就空了；更恶劣的情况是攻击者伪造大量MAC地址轮询获取IP，把整个池占完。

对策包括：缩短访客网络的租约时间，限制每个物理端口可学习的MAC数量，对长期使用的终端做保留绑定。在监控侧，定期统计租约数量变化，一旦发现曲线异常拉高，及时介入。

我在某公司处理过类似情况：某天下午用户大量报障，查租约文件发现地址池被占满了，而且新租约MAC都不在设备台账上，是一台测试终端开了自动化脚本不断申请。定位之后禁用端口、清掉无效租约，网络恢复。这个案例让我深刻意识到，DHCP不是配完就不管，它需要配套分析和监控。

6.3 生产环境的高可用与监控思路

单台DHCP服务器一旦宕机，整个网络的终端都会受影响，尤其是已有租约的设备还能撑一阵，新设备基本无法入网。生产环境通常需要考虑高可用。

ISC DHCP支持failover主备对，两台服务器同步租约，一台故障时另一台继续服务。配置不算复杂，但要注意主备的地址池划分与同步参数。新项目如果追求更简单的高可用和扩展性，可以研究Kea的high availability机制，它本身带着统计和API接口，管理上会更现代。

最后的个人体会：如果你刚开始搭DHCP，我的建议是先在小网段上一步步验证，学会看租约文件和日志，而不是上来就搞一堆花哨功能。我在实际维护中最大的体会是，DHCP给你的不是自由，而是可预期的地址秩序。地址在掌控之内，网络就稳定了大半。最后再分享一个小技巧：改配置前一定先跑一遍语法检查，重启后看一眼日志，确认没有任何接口报错再放开。很多看起来很玄的问题，其实都是这些朴素习惯在兜底。