1. 从一个设备拿不到地址的现场说起很多人第一次接触DHCP中继都是被一个很具体的故障逼出来的总部机房的核心交换机上跑着DHCP服务新划分的办公区在另一栋楼中间隔了三层路由结果办公区的电脑插上网线之后网卡图标一直转圈最后弹出一个169.254开头的地址。这个169.254网段是系统自己给自己分配的临时地址意思是我喊了半天没人理我。这时候你去查配置发现DHCP服务器的地址池明明配得好好的服务器本身也活着问题就出在——广播包过不了路由器。DHCP的工作机制决定了它的前两步发现和请求都是靠广播完成的。客户端在还不知道自己该用哪个IP的时候只能对着广播地址喊话。而路由器天生就是隔离广播域的广播包到了路由器接口就被丢掉了。所以只要DHCP服务器和客户端不在同一个二层网络里就必须有人帮忙传话这个传话的角色就是DHCP中继DHCP Relay。这篇内容我打算把DHCP的报文交互、中继的工作原理、以及实际设备上的配置方案完整讲一遍。适合正在做网络规划、或者被跨网段地址分配问题卡住的运维和网络工程师看。不管你是刚入行的新手还是配过几次但没搞明白原理的老手我都会尽量把为什么这么配讲清楚而不是只丢一段命令让你抄。先给一个整体印象DHCP中继的本质是把客户端发出的广播报文转成单播报文发给远端DHCP服务器同时在报文里塞进去一个我是从哪个网段来的的标记让服务器知道该从哪个地址池里挑地址。理解了这个核心后面所有的配置细节都是围绕它展开的。2. DHCP四步交互里藏着哪些容易被忽略的细节2.1 DISCOVER和REQUEST为什么必须是广播DHCP的经典交互是四步DISCOVER、OFFER、REQUEST、ACK。前两步和后两步的方向不一样这个方向差异是理解中继的关键。客户端刚接入网络时它手里什么都没有——没有IP、没有网关、没有DNS连自己该属于哪个网段都不知道。这种情况下它唯一能用的通信方式就是广播源地址填0.0.0.0目的地址填255.255.255.255。这就是DISCOVER报文。服务器收到之后从地址池里挑一个可用的地址用OFFER报文回应。注意OFFER阶段服务器其实也还没确定客户端一定会用这个地址所以它通常也是广播或者单播取决于客户端是否在报文里带了 requested-ip 选项。客户端可能同时收到多个服务器的OFFER它会挑一个然后发REQUEST报文正式申请这个地址。这个REQUEST同样是广播的目的是让其他也发了OFFER的服务器知道我选了别人你们可以把预留的地址收回去了。最后服务器回ACK确认租约生效。这里有个细节很多人没注意REQUEST报文之所以用广播是为了做租约确认的广播通知。如果客户端已经有IP了比如续租REQUEST就可以单播了。所以判断一个DHCP交互是不是完整看REQUEST是广播还是单播就能大致判断这是首次获取还是续租。2.2 租约、续租和地址回收的时间账DHCP分配的地址不是永久的而是有租期的。默认租期通常是24小时不同厂商默认值不一样有的8小时有的12小时。租期到了不续地址就会被回收。客户端不会等到租期结束才去续租。它会在租期的50%时刻T1尝试续租方式是单播REQUEST给原来那台服务器。如果T1续租失败它会在租期的87.5%时刻T2再次尝试这次是广播REQUEST意思是原来那台服务器不理我了其他服务器谁愿意给我续一下。如果到租期结束都没续上客户端就得放弃这个地址重新走DISCOVER流程。这个时间账在实际运维里很重要。比如你临时调整了地址池想快速生效光改配置没用得等客户端续租或者手动释放。有些场景下我们会把租期调短比如访客网络设成2小时就是为了让地址快速周转避免地址池被长期占用。2.3 报文里的Option字段才是真正的信息载体DHCP报文的结构里前面是固定的头部后面跟着一堆Option字段。真正决定这个客户端能拿到什么的全在Option里。几个关键OptionOption编号名称作用53DHCP Message Type标识这是DISCOVER/OFFER/REQUEST/ACK中的哪一种50Requested IP Address客户端想申请的地址54Server Identifier服务器标识客户端用它区分不同服务器55Parameter Request List客户端希望服务器下发哪些参数网关、DNS等82Relay Agent Information中继代理信息中继场景的核心51IP Address Lease Time租期时长Option 82是中继场景里最关键的字段。中继设备在转发客户端报文时会往里面插入这个Option内容包括中继的接口信息、电路ID等。服务器收到之后就能知道这个请求是从哪个接口、哪个网段过来的从而决定从哪个地址池分配地址。没有Option 82服务器面对一个来自远端的中继请求是不知道该给哪个网段地址的。2.4 为什么广播过不了路由器这件事必须解决回到最开始的问题。路由器隔离广播域这是三层设备的基本职责。如果放任广播通过一个几百台设备的网络里随便一台机器的广播就能淹没整个网络。所以路由器丢广播不是bug是设计。但DHCP又偏偏依赖广播。这就产生了一个矛盾既要隔离广播又要让DHCP的广播能跨网段工作。解决思路有两条一是在每个网段都部署一台DHCP服务器成本高、管理麻烦二是用中继把广播翻译成单播转发出去成本低、集中管理。实际生产环境里绝大多数用的都是第二种。3. DHCP中继到底在中间做了什么3.1 中继的翻译逻辑广播进单播出中继设备通常是路由器或者三层交换机的接口上会配置一个指向DHCP服务器的地址。当它收到客户端发来的广播DHCP报文时做这么几件事第一把广播报文的目的地址改成DHCP服务器的单播地址源地址改成自己面向服务器那个接口的地址或者指定的源地址。这样报文就能像普通单播一样被路由转发出去。第二在报文里插入Option 82把接收报文的接口信息、VLAN信息等塞进去。这是服务器判断网段的依据。第三把报文转发给服务器。服务器回应的报文OFFER/ACK是单播发给中继的中继收到之后再根据Option 82里的信息把报文广播或者单播回给客户端。整个过程对客户端是透明的。客户端以为自己是在跟本地服务器对话实际上中间隔了一个传话人。3.2 giaddr字段服务器判断网段的另一个依据除了Option 82报文头里还有一个giaddrGateway IP Address字段。中继在转发报文时会把自己的接口地址填进这个字段。服务器收到之后先看giaddr如果这个字段非零说明报文是经过中继转发的服务器就从giaddr对应的网段地址池里分配地址。giaddr和Option 82的区别在于giaddr是报文头里的标准字段所有中继都会填Option 82是可选字段需要中继设备显式开启。有些服务器只认giaddr有些服务器需要Option 82来做更精细的控制比如根据接口分配不同地址池。实际配置时两者通常都会用到。这里有个坑如果中继设备的接口地址配错了或者giaddr填的是一个不存在的网段服务器就会找不到对应的地址池客户端自然拿不到地址。排查的时候抓包看giaddr字段是最快的定位方法。3.3 中继和DHCP服务器不在同一台设备上的部署形态实际部署里中继和服务器有三种常见组合第一种服务器在核心交换机上中继在各个接入网段的三层接口上。这是最常见的适合中型网络。核心交换机性能强跑DHCP服务没压力各个网段的三层接口开中继指向核心。第二种服务器是独立的物理服务器或者虚拟机中继在核心交换机上。适合大型网络DHCP服务独立部署方便做高可用和集中管理。第三种中继和服务器在同一台设备上比如核心交换机既跑DHCP服务又跑中继。这种一般用于设备本身要给自己下辖的多个网段分配地址的场景配置上中继指向自己的某个接口地址。三种形态的配置命令大同小异核心都是在客户端所在网段的三层接口上开启中继并指定服务器地址。3.4 中继场景下的报文流向完整拆解用一个具体例子把流向串起来。假设客户端在192.168.10.0/24网段网关是192.168.10.1这台设备同时是中继DHCP服务器在192.168.1.100。客户端发DISCOVER源0.0.0.0目的255.255.255.255广播。中继接口192.168.10.1收到把报文改成源192.168.10.1、目的192.168.1.100的单播giaddr填192.168.10.1插入Option 82转发出去。服务器192.168.1.100收到看giaddr是192.168.10.1知道该从192.168.10.0/24的地址池分配挑一个地址发OFFER源192.168.1.100目的192.168.10.1中继地址。中继收到OFFER根据Option 82里的信息把报文广播回192.168.10.0/24网段。客户端收到OFFER继续发REQUEST重复上面的过程最后拿到ACK。整个链路里客户端始终以为自己在跟本地服务器对话服务器始终以为自己在跟中继对话中继在中间做了双向的地址转换和信息补充。4. 配置方案从接口中继到地址池规划4.1 中继接口的配置逻辑与命令以常见的网络设备为例中继配置的核心就两条在客户端网段的三层接口上开启DHCP中继功能然后指定DHCP服务器地址。华为/华三体系的命令大致是这样interface Vlanif10 ip address 192.168.10.1 255.255.255.0 dhcp select relay dhcp relay server-ip 192.168.1.100思科体系interface Vlan10 ip address 192.168.10.1 255.255.255.0 ip helper-address 192.168.1.100注意思科用的是ip helper-address这个命令不只是转发DHCP默认还会转发一堆UDP广播比如TFTP、DNS等。如果只想转发DHCP需要配合no ip forward-protocol把其他协议关掉。这是个很容易被忽略的细节很多人配完发现网络里多了一堆莫名其妙的广播流量就是helper-address把不该转的也转了。华为体系里dhcp select relay是明确只针对DHCP的相对干净。但要注意有些设备上还需要在全局开启dhcp enable否则接口下的中继配置不生效。4.2 服务器侧地址池怎么和giaddr对应服务器侧的配置关键是地址池要和giaddr对应。以华为设备为例ip pool pool-vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 114.114.114.114 lease day 1服务器收到giaddr为192.168.10.1的请求会去找network字段包含192.168.10.0/24的地址池然后从里面分配。如果找不到匹配的地址池就会丢弃请求客户端拿不到地址。这里有个常见错误地址池的network配的是192.168.10.0/24但中继接口的地址配的是192.168.10.254giaddr填的是254。服务器匹配的时候是按网段匹配的254在10.0/24里所以能匹配上。但如果中继接口配的是192.168.11.1giaddr就是11.1服务器找不到11.0/24的地址池就分配失败。所以中继接口地址必须和地址池在同一个网段这是硬性要求。4.3 多网段场景下的地址池规划思路一个中继设备往往要服务多个网段。比如一台核心交换机下挂10个VLAN每个VLAN一个网段都要从同一台DHCP服务器拿地址。这时候服务器上就要配10个地址池每个池对应一个网段。规划的时候有几个原则地址池的网段要和对应VLAN的三层接口地址在同一网段且网关地址要排除在分配范围之外服务器通常会自动排除网关但有些设备需要手动排除。地址池的命名最好和VLAN对应比如pool-vlan10、pool-vlan20方便排查。如果不同VLAN需要不同的DNS或者租期就在各自的地址池里单独配。公共参数可以配在全局地址池里覆盖。地址池的可用地址数量要留余量。比如一个VLAN最多50台设备地址池至少留60个地址避免临时接入的设备拿不到地址。4.4 Option 82的开启与关闭对分配结果的影响Option 82默认在多数设备上是开启的。但有些场景下需要关闭比如服务器不支持Option 82收到带Option 82的报文直接丢弃。这种情况在老设备上偶尔遇到解决办法是在中继接口上关闭Option 82插入。或者需要做基于Option 82的精细控制比如同一个VLAN里不同接口分配不同地址池。这时候要确保Option 82开启并且服务器侧配置了对应的匹配规则。关闭Option 82的命令华为体系interface Vlanif10 dhcp relay information disable开启是默认行为一般不用显式配。但如果你接手的是一个别人配过的设备最好确认一下这个选项的状态避免因为历史配置导致分配异常。5. 排查思路客户端拿不到地址时怎么一步步定位5.1 先确认是本地问题还是中继问题客户端拿不到地址第一步不是去查中继而是先确认问题范围。如果同一个网段里所有客户端都拿不到大概率是中继或服务器的问题如果只有个别客户端拿不到可能是客户端本身或者地址池耗尽。确认方法很简单找一台同网段的正常设备看它能不能拿到地址。如果正常设备也拿不到问题在服务端如果正常设备能拿到问题在故障客户端。另外一个快速判断看客户端拿到的是不是169.254开头的地址。如果是说明DISCOVER发出去之后没收到任何OFFER问题在服务端或者中继链路。如果客户端拿到了地址但上不了网那是网关或DNS的问题跟中继无关。5.2 抓包看giaddr和Option 82是否正常确认是服务端问题之后抓包是最直接的定位手段。在中继接口和服务器接口分别抓包对比报文。重点看几个字段giaddr是否被正确填写。如果giaddr是0.0.0.0说明中继没生效报文是直接广播过来的但广播过不了路由器所以这种情况通常意味着中继配置根本没起作用。Option 82是否存在。如果服务器需要Option 82但报文里没有服务器可能丢弃请求。源地址和目的地址是否正确。中继转发后的报文源应该是中继接口地址目的是服务器地址。如果源还是0.0.0.0说明中继没做地址转换。抓包工具用设备自带的或者外接的都可以。华为设备上可以用terminal monitor配合debugging dhcp relay看调试信息但生产环境慎用debug容易把CPU打高。5.3 服务器侧看不到请求的几种可能如果中继接口抓包能看到转发的报文但服务器侧抓不到问题在中间链路。可能的原因中继和服务器之间的路由不通。检查路由表确认中继设备有到服务器地址的路由服务器也有回程路由。中间有防火墙或者ACL拦截了UDP 67/68端口。DHCP服务器用UDP 67客户端用UDP 68。中继转发用的是UDP 67。如果中间设备拦了这些端口报文就到不了。服务器地址配错了。中继上配的server-ip如果写错报文就发到了一个不存在或者不响应DHCP的地址。5.4 地址池耗尽和租约异常的判断服务器侧能看到请求但分配失败常见原因是地址池耗尽。查看地址池使用情况display ip pool name pool-vlan10看Used和Idle的数量。如果Idle是0说明地址池满了。解决办法要么扩大地址池要么缩短租期加快回收要么排查是否有异常设备占用了大量地址。租约异常还有一种情况客户端频繁更换MAC地址比如某些虚拟化环境或者随机MAC功能导致每次请求都占用一个新地址地址池快速耗尽。这种情况可以在服务器侧看租约列表如果发现大量不同MAC对应同一台设备基本可以确认。6. 几个实际踩过的坑和配置习惯6.1 中继接口地址和地址池网段不匹配这个坑我踩过不止一次。有一次帮别人排查中继配置看起来完全正常服务器地址也对但客户端就是拿不到地址。抓包发现giaddr填的是192.168.20.1但服务器上只有192.168.10.0/24的地址池。原因是中继接口的地址配错了配成了20网段的地址而实际客户端在10网段。这种问题的隐蔽性在于配置命令本身没有语法错误设备也不会报错但逻辑上就是不通。排查的时候一定要核对中继接口地址和地址池网段的对应关系。6.2 helper-address转发了不该转的广播思科设备上用ip helper-address的时候默认会转发一批UDP广播包括TFTP69、DNS53、NetBIOS137/138等。如果网络里有其他依赖广播的服务可能会被这个命令影响。解决办法是显式关闭不需要转发的协议no ip forward-protocol udp tftp no ip forward-protocol udp netbios-ns no ip forward-protocol udp netbios-dgm只保留DHCP需要的。华为体系的dhcp select relay没有这个问题因为它只针对DHCP。6.3 服务器有多台时的选择逻辑生产环境里DHCP服务器通常会做双机或者多台。客户端发DISCOVER可能收到多个OFFER它一般选第一个到达的。中继上如果配了多个server-ip报文会同时发给多台服务器哪台先回就用哪台。这种机制下如果两台服务器的地址池配置不一致可能出现客户端拿到的地址和预期不符。比如A服务器配了10网段的池B服务器配了20网段的池客户端在10网段但B服务器先回了OFFER客户端就拿到了20网段的地址然后发现网关不对上不了网。所以多台服务器的时候地址池配置必须完全一致或者用主备模式而不是负载均衡模式。6.4 租期设置和地址回收的实际经验租期设太长地址回收慢地址池容易满设太短续租频繁增加服务器和网络负担。我的经验是办公网络设8到12小时员工上班期间地址稳定下班后地址自然回收。访客网络设2到4小时人员流动大短租期能加快周转。服务器和打印机这类固定设备用静态绑定或者保留地址不参与动态分配。无线网络设4到8小时兼顾稳定性和周转。调整租期之后已分配的地址不会立即按新租期走要等客户端下次续租才生效。如果想快速生效可以在服务器侧清除租约让客户端重新申请。6.5 中继和DHCP Snooping的配合接入层如果开了DHCP Snooping防止私接DHCP服务器要注意信任端口的配置。中继接口或者上联接口要配成信任端口否则中继转发的DHCP报文会被Snooping丢弃。华为体系dhcp snooping enable interface GigabitEthernet0/0/1 dhcp snooping trusted这个配置在接入层安全加固的时候经常用到但配了Snooping忘了配信任端口就会导致DHCP不通。排查的时候如果发现中继配置没问题但报文就是出不去检查一下Snooping的信任端口配置。7. 关于这套方案我自己的使用体会DHCP中继这个技术本身不复杂配置也就那么几条命令但实际出问题的时候往往不是命令写错了而是对报文流向和字段含义理解不到位。我自己的习惯是配完中继之后一定抓一次包确认giaddr填对了、Option 82在、源目的地址正确这三样对了基本就不会有大问题。另外地址池规划要在配中继之前就想清楚。我见过太多先配中继再补地址池结果网段对不上来回改的情况。先把每个VLAN的网段、网关、地址池范围列一张表再动手配效率高很多。最后分享一个小技巧如果环境里设备不多可以在中继接口上临时开debug看报文交互比抓包快。但生产环境慎用debug输出量大容易把设备CPU打高。用完记得及时关掉。