网络运维这行干久了，你会发现一个挺有意思的现象：很多人能噼里啪啦敲一堆命令把服务搭起来，但一旦网络里某台机器拿不到地址，或者地址池莫名其妙被耗尽，排查起来就抓瞎。DHCP 服务就是这类“搭起来容易、管明白难”的典型代表。我在不同规模的局域网里配过 DHCP，从小到十几台设备的办公网，到几百台终端的分区网络，踩过的坑基本能写满一页纸。这篇就围绕 Linux 下配置 DHCP 服务这件事，把我对它的理解、实操流程和那些文档里不写的经验，完整地摊开讲一遍。
先说清楚这个内容是什么、能解决什么问题。DHCP，动态主机配置协议，干的事说白了就是自动给网络里的设备发 IP 地址、网关、DNS 这些参数，省得你一台台手动配。在 Linux 上做这件事，主流方案是用 ISC DHCP 这套服务端软件，配置文件是/etc/dhcp/dhcpd.conf。适合谁来读？刚接触网络服务的新手可以照着走一遍完整流程，有经验的老手可以重点看参数取舍、地址池规划和故障排查那几块，里面有不少我实际踩坑换来的判断依据。下面不玩虚的，直接进入正题。
1. 整体设计思路与方案选型拆解
1.1 为什么是 ISC DHCP，而不是别的方案
Linux 下能发地址的软件不止一个，dnsmasq、Kea、systemd-networkd 都能干类似的事。我选 ISC DHCP 作为主线来讲，理由很实在：它的配置模型最贴近 DHCP 协议本身的结构，subnet、range、host、class 这些声明和协议里的概念一一对应，学一遍等于把协议也顺带理解了。dnsmasq 更轻，适合小型网络和家用场景，但它把 DNS 和 DHCP 揉在一起，配置项偏“简化封装”，对想搞懂底层机制的人反而不友好。Kea 是 ISC 的新一代产品，配置走 JSON，功能更强，但生态和资料相对新，很多老网络环境里跑的还是传统 dhcpd。
从运维成本角度看，ISC DHCP 的配置文件是纯文本、层级清晰，改完systemctl restart dhcpd就生效，日志走 syslog，排查路径成熟。我见过不少环境因为历史原因必须用传统 dhcpd，所以把它吃透，迁移到 Kea 时也只是换个配置语法的事，核心的地址池规划、租约管理思路完全通用。
提示：如果你的网络规模在 50 台设备以内、又不想单独维护 DNS，dnsmasq 是更省事的选择；但只要涉及多子网、地址分类、固定绑定这些需求，ISC DHCP 的结构化配置优势就出来了。
1.2 地址池规划：先想清楚再动手
配置 DHCP 最容易犯的错，是上来就写range，结果地址池和静态地址打架、网关地址被分出去、保留地址不够用。我的习惯是先画一张地址规划表，把网段切成几块：网络地址和广播地址固定不动，网关、服务器、打印机、交换机管理口这些必须用静态地址，单独划一段保留区，剩下的才是 DHCP 动态池。
举个具体例子，假设内网用192.168.10.0/24，我会这么切：
| 地址区间 | 用途 | 说明 |
|---|---|---|
| .1 - .20 | 基础设施静态区 | 网关、DNS、监控、交换机管理口 |
| .21 - .50 | 服务器与打印机 | 手动配置，不进 DHCP 池 |
| .51 - .200 | DHCP 动态池 | 普通终端自动获取 |
| .201 - .254 | 预留扩展区 | 临时设备、扩容备用 |
这样切的好处是边界清晰，动态池永远不会碰到静态设备，排查“地址冲突”时范围一下就缩小了。地址池大小怎么定？经验值是同时在线的终端数乘以 1.5 到 2 倍，留出足够的租约周转空间。租约时间（default-lease-time）在办公网一般设 8 小时到 1 天，会议室、访客网络这种流动性大的场景可以缩到 2 到 4 小时，加快地址回收。
1.3 单网卡多子网的结构设计
很多教程只讲单子网，实际环境里一台 DHCP 服务器服务多个 VLAN 是常态。这里有个关键点必须理解：DHCP 客户端发发现报文时是广播，广播包过不了路由器，所以跨子网必须靠DHCP 中继（relay）。服务器端要做的，是在配置文件里为每个子网写一个subnet声明，并且服务器自己至少有一个接口能到达对应网段，或者通过中继代理把请求转过来。
结构上我通常这样组织：服务器单网卡配一个管理地址，各网段的网关设备上开启 DHCP 中继指向这台服务器。配置文件里每个subnet块独立写range、option routers、option domain-name-servers，互不干扰。这种设计的好处是集中管理，改一处配置全网络生效；代价是服务器成了单点，所以生产环境我会配一台热备，用failover peer做双机，这个后面细讲。
2. 核心配置细节与参数解析
2.1 主配置文件的结构与全局参数
/etc/dhcp/dhcpd.conf的结构是“全局参数 + 子网声明 + 主机声明”三层。全局部分定义对所有客户端生效的默认值，子网部分覆盖特定网段，主机部分针对单台设备做固定绑定。理解这个覆盖关系很重要，子网里的配置优先级高于全局，主机声明又高于子网。
一个典型的全局段长这样：
# 全局默认租约时间，单位秒 default-lease-time 28800; # 最大租约时间，客户端申请更长时以此封顶 max-lease-time 86400; # 授权模式，官方建议开启，避免误响应其他网络的请求 authoritative; # 全局 DNS，子网内可覆盖 option domain-name-servers 192.168.10.2, 192.168.10.3; # 域名后缀 option domain-name "internal.example";authoritative这个参数值得单独说。开启后，当客户端请求的地址不在本服务器管理范围时，服务器会明确回 NAK，让客户端立刻重新发起请求；不开的话服务器选择沉默，客户端要等到超时才换服务器，体验很差。所以只要这台服务器是网段的“正主”，就该开。
default-lease-time和max-lease-time的关系也要理清：客户端可以主动申请租期，服务器在两者之间取合理值。设太短会增加续租报文量，设太长会导致地址回收慢。我一般按终端类型区分，办公 PC 给 8 小时，移动设备给 4 小时。
2.2 子网声明与地址池的写法
子网声明是配置的核心，每个网段一个块：
subnet 192.168.10.0 netmask 255.255.255.0 { range 192.168.10.51 192.168.10.200; option routers 192.168.10.1; option subnet-mask 255.255.255.0; option domain-name-servers 192.168.10.2, 192.168.10.3; option broadcast-address 192.168.10.255; }range可以写多段，比如range 192.168.10.51 192.168.10.100;和range 192.168.10.121 192.168.10.200;中间空出一段做特殊用途。这种写法在需要给某类设备单独留地址时很好用。option routers就是默认网关，注意别把网关地址写进range里，否则网关自己可能被分出去导致网络瘫痪，这是新手最常犯的致命错误之一。
option broadcast-address其实可以省略，服务器会根据子网掩码自动推算，但显式写出来可读性更好，排查时一眼能看出配置意图。
2.3 固定地址绑定：host 声明的正确用法
有些设备必须固定 IP，比如打印机、监控摄像头、网络存储。做法是用host声明把 MAC 地址和 IP 绑定：
host printer-floor2 { hardware ethernet 00:1a:2b:3c:4d:5e; fixed-address 192.168.10.30; }这里有个细节：fixed-address的地址最好落在range之外，否则虽然服务器会优先分配固定地址，但地址池管理上容易混乱。我习惯把所有固定绑定地址统一放在静态区，和动态池物理隔离。
另一个坑是 MAC 地址格式，必须是xx:xx:xx:xx:xx:xx六组冒号分隔，写成xx-xx-xx或者大小写混用虽然部分版本能识别，但为了稳妥统一用小写冒号格式。获取 MAC 地址时，客户端上用ip link看link/ether后面那串就行。
2.4 租约数据库与日志的位置
租约信息默认存在/var/lib/dhcpd/dhcpd.leases，这个文件记录了当前所有已分配地址、租约到期时间、客户端标识。排查“某台机器为什么拿不到地址”时，先看这个文件里有没有对应记录，比翻日志快。文件是追加写的，时间长了会变大，服务重启时会自动整理，一般不用手动干预。
日志走系统日志，通常在/var/log/messages或/var/log/syslog里，用journalctl -u dhcpd也能直接看服务日志。日志里DHCPDISCOVER、DHCPOFFER、DHCPREQUEST、DHCPACK这几个关键字对应协议的四次交互，看懂这条链路，排查就有了主线。
3. 完整实操流程与现场记录
3.1 环境准备与软件安装
假设在一台内网服务器上部署，系统是常见的 Linux 发行版。先确认网络配置：服务器自身要有静态 IP，且这个 IP 不在待分配的地址池里。用ip addr确认网卡名和地址，比如eth0配了192.168.10.2/24。
安装软件包，不同发行版命令不同：
# Debian/Ubuntu 系 apt update && apt install isc-dhcp-server # RHEL/CentOS 系 yum install dhcp-server # 或新版 dnf install dhcp-server安装完先别急着启动，因为默认配置是空的，直接起会报错。Debian 系还要在/etc/default/isc-dhcp-server里指定监听接口，把INTERFACESv4="eth0"填上，否则服务不知道在哪块网卡上收包。这一步很多人漏掉，结果服务起不来还找不到原因。
3.2 配置文件编写与语法校验
按前面的规划写好dhcpd.conf，写完一定要做语法检查：
dhcpd -t -cf /etc/dhcp/dhcpd.conf这个命令只校验配置不启动服务，有语法错误会直接指出行号。我养成的习惯是每次改完配置先跑一遍-t，比启动失败再翻日志高效得多。常见报错有分号漏写、大括号不匹配、subnet和netmask对不上，-t都能揪出来。
校验通过后启动服务：
systemctl start dhcpd systemctl enable dhcpdenable是为了开机自启，生产环境必做。启动后立刻看状态：
systemctl status dhcpd状态是active (running)才算成功。如果失败，journalctl -u dhcpd -n 50看最近 50 行日志，错误原因基本都在里面。
3.3 客户端验证与抓包确认
服务端起来后，找一台同网段的客户端测试。Linux 客户端可以手动触发：
# 释放旧地址 dhclient -r eth0 # 重新获取 dhclient -v eth0-v是详细模式，能看到完整的 DISCOVER-OFFER-REQUEST-ACK 过程。Windows 客户端用ipconfig /release和ipconfig /renew。拿到地址后用ip addr或ipconfig确认 IP、网关、DNS 是否和配置一致。
如果客户端拿不到地址，服务端抓包是最直接的定位手段：
tcpdump -i eth0 -n port 67 or port 68 -vv67 是服务端端口，68 是客户端端口。抓包能看到客户端有没有发出 DISCOVER、服务器有没有回 OFFER。如果只有 DISCOVER 没有 OFFER，问题在服务端；如果连 DISCOVER 都没有，问题在客户端或链路（比如中继没配、VLAN 不通）。这一招我在现场排查时用得最多，比猜快十倍。
3.4 双机热备的 failover 配置
生产环境单台 DHCP 服务器是单点故障，一旦宕机新设备全部拿不到地址。ISC DHCP 支持主备模式，两台服务器通过failover peer同步租约：
failover peer "dhcp-failover" { primary; address 192.168.10.2; port 647; peer address 192.168.10.3; peer port 647; max-response-delay 60; max-unacked-updates 10; mclt 3600; split 128; load balance max seconds 3; }主服务器写primary，备服务器写secondary，地址互换。split 128表示地址池对半分，主备各管一半，主挂了备接管全部。mclt是最大客户端租约时间，配合split决定接管时的行为。这个配置两块服务器都要写，且subnet块里要引用failover peer "dhcp-failover";。
双机配置的坑在于时间同步和防火墙，647 端口必须互通，两台机器时间差不能太大，否则租约同步会出问题。我建议配好 NTP 再上 failover，省得后面查半天。
4. 常见问题排查与避坑实录
4.1 客户端拿不到地址的排查路径
这是最高频的问题，我整理成一张速查表，按顺序排查效率最高：
| 现象 | 可能原因 | 排查动作 |
|---|---|---|
| 客户端无 DISCOVER 发出 | 网卡未启用、链路不通 | 查网线、VLAN、ip link状态 |
| 有 DISCOVER 无 OFFER | 服务未启动、配置无匹配子网 | systemctl status dhcpd、dhcpd -t |
| 有 OFFER 无 ACK | 地址冲突、租约库异常 | 查dhcpd.leases、检查地址是否被静态占用 |
| 拿到地址但上不了网 | 网关或 DNS 配错 | 核对option routers、option domain-name-servers |
| 跨网段拿不到 | 中继未配或指向错误 | 查网关设备 relay 配置、抓包看 67 端口 |
我遇到最多的是“有 DISCOVER 无 OFFER”，八成是配置文件里subnet声明的网段和客户端实际网段对不上，或者服务监听接口选错了。用dhcpd -t加抓包基本能锁定。
4.2 地址池耗尽的识别与处理
地址池耗尽的表现是客户端反复请求拿不到地址，日志里出现no free leases。原因可能是租约时间设太长、地址池太小，或者有设备频繁更换 MAC 占用地址。处理办法：先看dhcpd.leases里有多少活跃租约，对比池大小；临时可以缩短default-lease-time加快回收；长期要扩容地址池或排查异常设备。
有个隐蔽情况是虚拟机克隆导致 MAC 冲突，多台机器用同一个 MAC 请求地址，服务器只认一个租约，其他机器就抢不到。这种要靠交换机 MAC 表或者日志里的重复 MAC 来发现。
4.3 配置文件改完不生效的几种情况
改完配置重启服务却没变化，常见原因有三个：一是改错了文件，有些发行版有多个配置路径；二是服务没真正重启，systemctl restart返回成功但进程没换，用systemctl status看启动时间确认；三是客户端缓存了旧租约，需要先释放再获取。还有一种情况是dhcpd.conf里include了其他文件，实际生效的是被包含的那份，改主文件没用。我习惯改完先grep一下关键参数确认改对了地方。
4.4 几个容易忽略的实操心得
第一，先规划后配置。地址规划表画好再动手，比边配边改省太多事。第二，配置必校验。dhcpd -t是保命命令，养成肌肉记忆。第三，抓包是终极手段。任何“说不清”的问题，抓一次包基本就清楚了。第四，日志级别按需调。排查时可以临时提高日志详细度，稳定后调回来，避免日志刷爆磁盘。第五，备份租约库。迁移服务器时把dhcpd.leases一起带走，客户端不用重新获取地址，切换无感知。
这套流程我在多个环境里跑过，从单网段小网络到带中继和双机的多子网环境，核心逻辑没变过：规划清楚、配置校验、抓包定位、日志兜底。真正花时间的从来不是敲命令，而是想明白地址怎么切、参数为什么这么设。把这两件事想透，剩下的都是熟练度问题。
