搞网络的人迟早会碰上一件事设备一多IP地址手动配不过来。电脑五十台手机三十部打印机还要固定地址光维护一张Excel地址表就够头疼的。DHCP服务就是用来解决这个问题的只要架好服务设备接上网线就能自动拿到IP、掩码、网关、DNS省掉大量重复劳动。这篇文章聊聊我在eNSP模拟器和真实环境中搭建DHCP的完整思路、具体命令和踩坑记录适合刚入手网络配置、或者在机房被手动配IP逼疯的运维同学参考。文章不会只贴配置命令也会把为什么这么配、哪些参数必须提前想清楚讲透这样你换到Windows Server、Linux或者路由器上都能举一反三。1. 先弄明白DHCP到底在解决什么问题1.1 没有DHCP的时候网络维护是什么样子早年的局域网环境里IP地址全靠手工分配。网络管理员手里有一张表上面记录谁的机器用了哪个IP新人入职就找一个空余的IP填进去离职了再把这个IP收回来。听起来不难实际上很容易出事IP填错了会冲突一台电脑弹窗“IP地址冲突”两台机器同时掉线人走了地址没回收后面的人无地址可用设备搬去另一个办公室网段变了又要重新配置一遍。DHCP动态主机配置协议就是把这些人工操作变成自动化。客户端开机后发一个广播请求DHCP服务器从地址池里挑一个可用的IP租给它并附带子网掩码、默认网关、DNS服务器地址。租约到期前客户端还会续租整个过程不需要人干预。你只要把服务器配好剩下的就是看日志、查租约、处理异常。1.2 DHCP的核心工作流程Discover/Offer/Request/Ack很多教程直接让你敲命令但如果你不理解那四个报文后面排错会非常痛苦。DHCP客户端和服务器之间的交互分四步客户端发DHCP Discover广播问“网段里有DHCP服务器吗我需要一个IP”。服务器收到后从地址池选一个地址发DHCP Offer告诉客户端“我这里有地址你看要不要”。客户端如有多个Offer一般选第一个或某个特定服务器然后发DHCP Request广播明确表示“我就要这个地址”。服务器收到Request后确认发DHCP Ack客户端开始使用该地址如果服务器认为该地址不可用会回DHCP NAK客户端重新开始请求。这四步只要一步出问题客户端就得不到正常的地址。常见现象是手机Wi-Fi显示“正在获取IP地址”然后失败多半是Discover发出去了没人回应或者Request没人确认。所以排查的思路不是“哪个命令敲错了”而是“这四个报文在链路上到底走到哪一步断了”。抓包工具里看到持续广播Discover却没有Offer说明服务器没收到请求或者服务器到客户端之间被VLAN隔离了。1.3 什么场景下需要自己搭一台DHCP服务器很多人家里的路由器自带DHCP功能不需要单独搭建。但以下几种场景你会发现自建DHCP是必须的公司有多个业务网段路由器或核心交换机支持DHCP功能但需要统一管理地址分配不能在每个网段都放一台DHCP服务器。需要给特定设备固定IP比如打印机、门禁控制器、视频会议终端靠路由器后台一条条绑定也不是不行但设备多了会很累。需要下发特殊选项如PXE无盘启动的启动服务器地址、IP电话的TFTP服务器地址普通家用路由器没有这些配置项。需要排查IP地址冲突和非法DHCP服务器用专业DHCP服务更好跟踪。所以“搭建DHCP”不只是敲几条命令本质是搭建一套地址分配策略。你首先要知道自己处于哪种网络环境再决定用什么设备来承担这个角色。2. 搭建前的方案选型与参数规划2.1 用eNSP模拟器还是物理服务器学DHCP配置时我强烈建议先别直接在服务器上操作。如果你手头没有现成的网络设备环境用eNSP模拟器搭一套虚拟拓扑练习成本和风险都低很多。eNSP里可以用路由器模拟DHCP服务器也可以用三层交换机开启DHCP功能还能把多个路由器串联模拟跨网段的中继环境。真实生产环境里选型一般是这么考虑的网络设备路由器/三层交换机上开启DHCP最常用、成本低、不增加额外服务器适合中小规模网络几千个终端以内都能顶住。独立服务器跑DHCP服务Linux的ISC DHCP或Kea、Windows Server适合地址池大、需要做复杂策略、需要和AD域联动、需要集中日志审计的场景。家用路由器/企业AP自带的DHCP适合小办公室和家庭功能简单但胜在零维护。如果你刚入门我建议先用eNSP走一遍完整流程把命令和报文搞清楚再去接触生产环境。因为eNSP里做错了可以随时重启设备生产环境里配错地址池可能让整个办公室无法上网。2.2 地址池、租期和保留地址怎么规划这部分是搭建DHCP最核心的规划工作比命令本身重要得多。打个比方地址池就像停车场里的车位租期就是你允许车停多久保留地址就是专门给领导留的固定车位。先说地址池。你要给DHCP划分一段可分配地址范围不要把网络地址、广播地址、网关地址都扔进去。比如网段是192.168.10.0/24网络地址192.168.10.0和广播地址192.168.10.255不能用网关一般用192.168.10.1或254那么地址池最好从192.168.10.100开始到192.168.10.200结束避免和服务器、打印机等手工配置的IP冲突。有些设备支持excluded-ip-address命令把网关和保留地址排除出去更稳妥。租期怎么定默认值一般是一天。办公室网络建议租期设长一点比如1到3天减少DHCP交互报文访客Wi-Fi或临时网络建议设短比如30分钟到1小时地址能快速收回。但别把租期设太短客户端频繁续租会增加服务器压力而且一旦DHCP服务器短暂不可用客户端租期到期后会立刻掉线。保留地址和固定绑定是两回事。保留地址是在DHCP服务器上配置“某个MAC地址永远分到某个固定IP”也叫静态绑定。给打印机、视频会议终端做绑定很有用因为设备重启后IP不会变防火墙策略、访问控制列表都好写。2.3 少不了的中继跨网段下发地址很多人第一次搭DHCP时都会遇到一个坎DHCP服务器在192.168.10.0网段客户机在192.168.20.0网段明明服务器配置正确客户机就是拿不到地址。原因在于DHCP Discover是广播报文广播不会跨越三层设备路由器默认把广播丢弃。解决方式有两种。第一种是每个网段各配一台DHCP服务器简单但费设备第二种是在客户机所在网段的网关接口上配置DHCP中继DHCP Relay把这个广播请求转成单播转发给真正的DHCP服务器。中继的工作原理是网关收到客户端的DHCP Discover后把自己的接口地址作为giaddr网关IP地址填入报文再单播给服务器服务器知道是哪个网段发来的就从对应的地址池里选地址。所以规划DHCP时一定要把拓扑图画清楚服务器放哪个网段中继放在哪个网关地址池如何对应各网段。这一步想清楚了配置就是填空。3. 实操在eNSP里从零搭建DHCP服务3.1 环境准备与拓扑设计我用的eNSP实验拓扑比较简单但足够覆盖绝大多数基础场景一台路由器做DHCP服务器一台二层交换机两个终端设备。如果你的eNSP版本里没有终端可以用两台PC模拟。具体拓扑AR1路由器GigabitEthernet0/0/0接口接二层交换机IP为192.168.10.1/24。交换机下接两台PC。AR1同时启用DHCP服务地址池为192.168.10.0/24分配范围192.168.10.100到192.168.10.200。打开eNSP后先启动全部设备等路由器状态变绿再操作。这里有个经验eNSP对电脑性能要求不高但建议把所有设备的“启动延迟”稍微调大一点否则设备启动过程中敲命令容易丢配置。另外实验做完后导出配置文件避免软件崩溃导致全部丢失。3.2 路由器接口地址与地址池配置在华为VRP系统上第一步先全局开启DHCP服务。命令是system-view dhcp enable注意很多初学者忘掉这条命令后面怎么配置都不会生效。然后进入接口配置IP地址并且让接口关联全局地址池interface GigabitEthernet0/0/0 ip address 192.168.10.1 255.255.255.0 dhcp select globaldhcp select global的意思是这个接口收到的DHCP请求分配到全局地址池里找地址。如果接口是dhcp select interface则使用“接口地址池”方式地址池范围由接口网段自动决定。两种方式各有适用场景基础实验推荐global因为地址池参数可定义得更细。接下来配置全局地址池ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 114.114.114.114 223.5.5.5 lease day 1 hour 0 minute 0 excluded-ip-address 192.168.10.1 192.168.10.10network表示可分配网段gateway-list是下发给客户端的默认网关dns-list是域名服务器。excluded-ip-address把192.168.10.1到192.168.10.10这一段排除掉避免DHCP把IP分给手工配置的服务器。最后用lease设置租期为1天。配置完以后可以把PC的IP获取方式改为DHCP。在eNSP里双击PC选择“DHCP”然后应用很快就能看到自动获取到的IP。如果你想看租约信息在路由器上执行display ip pool display ip pool vlan10 used这两个命令能看到地址池的使用情况、已分配的地址、租期剩余时间是排查地址耗尽问题的一把钥匙。3.3 启用DHCP中继让不同网段也能拿到地址上面只是同网段的实验真正考验配置能力的是跨网段。我把拓扑改成AR1作为DHCP服务器地址池1为192.168.10.0/24AR2作为客户端的网关接口GigabitEthernet0/0/0连接“客户端网段”192.168.20.0/24AR1与AR2之间用192.168.10.0/24互联。AR1上除了已有的vlan10地址池再配置一个vlan20地址池ip pool vlan20 network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 114.114.114.114AR2上在连接客户端的接口开启DHCP中继interface GigabitEthernet0/0/0 ip address 192.168.20.1 255.255.255.0 dhcp select relay dhcp relay server-ip 192.168.10.1这里dhcp select relay让接口把收到的广播转成单播发给服务器dhcp relay server-ip指定DHCP服务器地址。注意AR2的另一个接口IP必须在192.168.10.0/24网段且能路由到AR1否则中继报文发不出去。配置好后192.168.20.0/24网段的PC就能从AR1的vlan20地址池里拿到地址了。中继配置里最容易疏忽的是服务器端必须配置一个对应该客户端网段的地址池而且gateway-list要填中继接口的地址不能填服务器自己的网关。不然服务器虽然收到请求却找不到匹配的地址池客户端依旧会Request超时。3.4 用抓包验证完整交互过程配置完成后不要急着收工。我建议在eNSP里打开ARP和DHCP抓包看一遍四个报文流转的全过程这能帮你建立非常直观的协议认知。操作方式是选中路由器或PC接口先启动抓包再把PC改成DHCP获取观察报文。抓包时你会发现这样几个细节Discover和Request是广播报文目标MAC为ff:ff:ff:ff:ff:ffOffer和Ack是单播或广播具体取决于客户端是否已经知道服务器MAC地址。在跨网段中继场景里客户端的Discover到达网关后会被网关转发成单播给服务器并且报文中多了一个giaddr字段值为192.168.20.1。服务器正是根据这个字段选择vlan20地址池。如果看到服务器回Offer后客户端没有继续发Request通常是客户端收到的Offer里带的路由信息不对或者客户端判断这个地址不是自己想要的。此时检查gateway-list是否填对。这个验证习惯非常值钱。生产环境里你不可能动不动就抓包但一旦遇到疑难问题抓包能立刻把问题定位在“服务器没收到”“服务器没回应”“客户端不愿意用”三个层面。4. 用常见的坑反向理解DHCP的细节4.1 DHCP client error 5和客户端获取失败很多人搜过“dhcp client error 5”这个错误尤其在Windows上手工配IP后切回DHCP模式时会提示“DHCP客户端 服务启动失败”或类似错误。错误码5在Windows里对应“拒绝访问”常见原因是网卡驱动异常、防火墙拦截或者DHCP Client服务没有启动。排查顺序建议这样按WinR输入services.msc找到“DHCP Client”服务看是否已启动。如果没启动右键启动并设为自动。以管理员身份运行命令提示符执行netsh winsock reset和netsh int ip reset然后重启电脑。这个操作能重置Winsock目录和TCP/IP协议栈解决很多莫名其妙的网络问题。关闭第三方安全软件尤其是带“网络防护”功能的杀毒软件。有些软件会把DHCP请求当作攻击流量拦截导致客户端请求发不出去。重装网卡驱动。打开设备管理器卸载网卡设备勾选“删除此设备的驱动程序软件”再扫描硬件改动重新安装。如果你是在eNSP里碰到类似“DHCP client error 5”那基本上是模拟器和系统的兼容问题。解决方法也很暴力关掉所有设备重启eNSP再重新启动拓扑。eNSP做完实验后配置没保存重启后需要重新敲一遍这也是我建议边做边截图备份的原因。4.2 关闭DHCP后连不上Wi-Fi网上有个高频提问是“DHCP关闭后连不上WiFi”。很多家用路由器管理后台有一项“DHCP服务器”开关有人觉得关闭后可以手动指定IP结果手机、电脑连上Wi-Fi却无法上网。为什么因为Wi-Fi连接本身靠无线协议协商不需要IP地址也能“连上”但上网必须要有IP、掩码、网关、DNS。路由器DHCP关闭后没有服务给终端分配地址。如果你手动给设备填一个静态IP最好选一个和路由器同网段的地址比如路由器是192.168.1.1你就给设备填192.168.1.88掩码255.255.255.0网关192.168.1.1DNS填运营商或公共DNS。真正需要关闭家用路由DHCP的情况往往是网络里已经有一台更强大的DHCP服务器比如企业级路由器、软路由、Windows Server。这时候如果两个DHCP同时存在会发生IP地址冲突、分配混乱。所以关闭DHCP的前提是已经确认有另一个DHCP服务在正常工作。如果是为了排查故障建议先记录下这台路由器默认的IP地址、DHCP地址池范围防止改完自己都找不回去。4.3 DHCP服务自己停了 / 重启eNSP后配置消失“DHCP会自动关闭吗”这个问题要分两层看。真实服务器上DHCP服务一般不会无缘无故关闭Windows Server上服务停止通常和系统更新、管理员误操作、服务账户权限不足有关。Linux上可能是进程被oom-killer干掉或者配置文件语法错误导致守护进程启动失败。排查时先看系统日志和DHCP日志不要反复重启服务。eNSP里的情况就更常见了设备配置没有保存软件一关所有配置消失。所以每完成一个阶段的配置就在终端执行save路由器会提示是否保存到配置文件输入y回车。eNSP里的路由器模拟器配置不会自动写入Flash你不保存下次打开就是一台空白设备。我自己的习惯是每完成一个地址池、每做完一个接口配置就顺手save一次最后再导出备份。4.4 加一层DHCP Snooping保护网络搭建DHCP时很多人忽略安全性。局域网里一个更严重的问题是“非法DHCP服务器”有人随手插了一台家用路由器在公司网线上这台路由器自带的DHCP服务就会向全网分发错误的网关和DNS导致大量电脑上不了网。这种现象叫DHCP饿死或DHCP欺骗最有效的防护手段就是开启DHCP Snooping。DHCP Snooping一般配置在接入交换机上。原理是交换机只信任连接合法DHCP服务器的端口其他端口不允许直接向客户端发DHCP Offer只能转发客户端的上行请求。这样即使有人接了一台路由器进来交换机也会丢弃它发出的Offer报文。在华为交换机上配置大概是这样dhcp snooping enable interface GigabitEthernet0/0/1 dhcp snooping trust把连接合法DHCP服务器的端口设为trust其他端口默认是untrust自动丢弃来自非法DHCP服务器的响应。这个功能强烈建议在生产环境的接入层开启尤其是办公网和访客网络。配置前先确认DHCP服务器的接入位置别把trust配错端口否则合法服务器反而被屏蔽。5. 个人经验与几个容易忽略的操作习惯5.1 配置顺序比想象中更重要DHCP配置虽然不复杂但顺序错了会浪费很多时间。我见过太多人先配地址池再配接口然后发现客户端拿不到地址回头排查半天才意识到dhcp enable没敲。其实更合理的顺序是先打通网络确认路由器和交换机之间链路通、PC能ping通网关。再全局开启DHCP服务。然后配置地址池。接着在接口上选择global或relay模式。最后把PC改成自动获取验证结果。这个顺序的好处是每一步都能单独验证。网络不通时PC可能在DHCP自动获取前还能通过手动IP测试连通性等链路没问题了DHCP请求才会被正常转发和处理。如果你一上来就全部配置完后找问题报错点太多很难定位。5.2 维护清单租期、备份、日志搭建DHCP只是开始日常维护才是真正见功夫的地方。我给自己列了一个简单的DHCP维护清单供你参考每周看一次地址池使用率尤其是访客网段、IoT网段。地址池快耗尽时预留一段可扩容的备用网段或者临时缩短租期回收地址。定期导出配置文件。eNSP实验配置可以保存为文件生产设备用display saved-configuration确认配置已保存服务器则备份DHCP配置文件到版本库。打开DHCP日志。Windows Server里DHCP日志默认记录到事件查看器Linux看/var/log/messages或dhcpd.logeNSP则用info-center开启日志记录。这样出现IP冲突时你能直接看到是哪个MAC在抢地址。重要设备一律做静态绑定别用保留地址之外的“临时固定”。很多打印机IP冲突事故都是管理员以为手动填一个DHCP池外的IP就万事大吉结果DHCP地址池扩展后又分到这个地址第二天打印机就掉线了。5.3 最后再说一个小技巧如果你经常要排查IP冲突可以在交换机上开启ARP检测配合DHCP Snooping一起用。DHCP Snooping维护了一张“IPMAC端口租期”的绑定表交换机收到ARP报文时检查发送者的IP和MAC是否在这张表里不在就丢弃。这能有效防止有人手工改IP冒充其他设备也能避免IP冲突反复出现。配置了DHCP Snooping之后还可以用一条命令快速查看所有终端的在线情况display dhcp snooping binding这张表里记录了每个客户端拿到的IP、MAC、所属VLAN、端口和租期剩余时间。排障时先看这张表能少走很多弯路。我个人每次在办公室排查“某台电脑上不了网”时都是先看DHCP绑定表里有没有这个MAC没有就先解决获取地址问题有再查网关和DNS问题瞬间缩小。DHCP这东西刚开始学感觉就是几条命令但真正理解之后你会把它当成整个网络的地址分配中枢。配置一次不难难的是把地址池、租期、中继、安全防护这些细节都纳入统一考虑。希望这篇整理能帮你在自己搭DHCP时少踩几个我踩过的坑。