1. DHCP基础概念与工作原理

每次给新员工培训网络配置时，我都会用"租房中介"的比喻来解释DHCP。想象一下，你刚到一个新城市需要租房，DHCP服务器就是那个掌握所有房源信息的中介，而客户端设备就像找房的租客。整个过程完全自动化——设备插上网线或连接WiFi时，会主动"喊一嗓子"（DHCP Discover广播），中介听到后提供可选房源（DHCP Offer），设备选中房子后签电子合同（DHCP Request），最后中介确认租约（DHCP Ack）。这个四步握手过程通常在秒级完成，但背后藏着几个关键技术细节：

第一是IP地址池管理。就像中介手头要有真实房源，DHCP需要预先配置可分配的IP范围。我见过新手常犯的错误是把网关地址也划进地址池，结果导致地址冲突。正确的做法是用excluded-address参数保留网关、服务器等固定IP。

第二是租期策略。默认3天的租约在办公网很常见，但在机场、咖啡馆这类场所，设置2小时短租期更能提高地址利用率。曾经有个商场WiFi频繁掉线，最后发现竟是DHCP租期过长导致地址耗尽。

第三是选项配置。除了分配IP，DHCP还能下发DNS服务器（option 6）、域名后缀（option 15）等参数。去年帮某学校排查上网慢的问题，发现他们DHCP没配DNS，设备都在用公共DNS导致校内资源访问异常。

实际抓包时你会看到，DHCP报文采用UDP协议，客户端用68端口，服务端用67端口。这里有个隐藏知识点：DHCP Offer报文中的"Your IP"字段，就是服务器建议分配的IP地址。通过Wireshark过滤器bootp可以专门捕获这类报文，对排查分配故障特别有用。

2. 路由器接口地址池配置实战

上周处理的一个典型案例很能说明问题：某分支机构换了新路由器后，连接LAN口的设备无法上网。查看配置发现前任管理员在GigabitEthernet0/0/1接口只配了IP，却漏了关键的三条命令。完整配置应该是这样的：

<Huawei>system-view
[Huawei]interface g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.1.1 24
[Huawei-GigabitEthernet0/0/1]dhcp select interface  # 启用接口地址池
[Huawei-GigabitEthernet0/0/1]dhcp server dns-list 8.8.8.8  # 指定DNS
[Huawei-GigabitEthernet0/0/1]dhcp server lease day 1  # 设置1天租期

这里容易踩的坑是子网掩码的一致性，接口IP的/24掩码必须与DHCP地址池范围匹配。我习惯用display ip pool interface vlanif10 used命令检查分配情况，输出会显示已用IP、MAC绑定和剩余租期。

对于需要保留特定IP的场景，比如给网络打印机固定地址，可以添加排除范围：

[Huawei-GigabitEthernet0/0/1]dhcp server excluded-ip-address 192.168.1.100 192.168.1.120

实测发现华为设备有个特性：接口地址池默认包含接口IP所在网段的所有地址，这点与思科不同。曾经有次割接后出现IP冲突，就是因为没注意到这点，后来用reset dhcp server ip-in-use清空租约才解决。

3. 路由器全局地址池高级配置

当需要管理多个网段时，全局地址池的优势就显现出来了。去年部署某企业总部网络时，我就用全局池统一管理10个VLAN的IP分配。典型配置如下：

[Huawei]ip pool HQ_POOL
[Huawei-ip-pool-HQ_POOL]network 10.10.0.0 mask 255.255.240.0  # 使用超网划分
[Huawei-ip-pool-HQ_POOL]gateway-list 10.10.0.1 
[Huawei-ip-pool-HQ_POOL]dns-list 10.10.0.53  # 内网DNS
[Huawei-ip-pool-HQ_POOL]lease day 7 hour 0 minute 0  # 一周租期
[Huawei-ip-pool-HQ_POOL]static-bind ip-address 10.10.1.100 mac-address 5489-9851-036e  # 绑定IP

这里有个性能优化技巧：大网段划分建议用section子命令创建多个地址段。某次性能调优中，通过将2000个IP分成4个section，使地址分配速度提升了30%。

对于需要跨三层分配IP的场景，必须配置DHCP中继。核心交换机上的关键命令是：

[Huawei]interface vlanif 10
[Huawei-Vlanif10]dhcp select relay
[Huawei-Vlanif10]dhcp relay server-ip 10.1.1.1  # 指向DHCP服务器

排查中继故障时，我必用的诊断命令是display dhcp relay statistics，它能显示转发和丢弃的报文计数。曾有个诡异故障是中继不工作，最后发现是ACL拦住了UDP 67端口。

4. 交换机DHCP配置的特殊处理

交换机的DHCP配置比路由器更考验细节。以华为S5700为例，必须先创建VLAN接口：

[Huawei]vlan batch 10 20
[Huawei]interface vlanif 10
[Huawei-Vlanif10]ip address 192.168.10.1 24
[Huawei-Vlanif10]dhcp select global  # 关联全局池
[Huawei-GigabitEthernet0/0/1]port link-type access
[Huawei-GigabitEthernet0/0/1]port default vlan 10

三层交换机有个隐藏功能：可以通过dhcp snooping enable开启监听，防止私接小路由器。配置时要配合dhcp snooping trusted指定上联口为信任端口。某次安全审计中发现大量异常DHCP Offer，就是靠这个功能定位到违规设备的。

对于需要精细控制的场景，还可以配置Option 82（电路ID和远端ID）：

[Huawei]dhcp enable
[Huawei]dhcp option82 insert enable
[Huawei]interface gigabitethernet 0/0/23
[Huawei-GigabitEthernet0/0/23]dhcp option82 circuit-id format-type cn

验证配置时，我习惯用display dhcp server ip-in-use查看地址分配详情，其中会包含Option 82信息。这个功能在运营商场景特别有用，能精确定位哪个物理端口发出的请求。

5. 常见故障排查手册

根据我处理过的上百个DHCP故障案例，80%的问题可以通过以下步骤解决：

1. 基础检查：

   • display dhcp server statistics查看统计信息
   • ping测试客户端与网关连通性
   • 确认交换机端口未启用port-security等限制

2. 地址耗尽：

   display ip pool name POOL1  # 查看地址池利用率
   reset dhcp server ip-in-use  # 强制释放地址（慎用）
   

3. 分配异常：

   • 抓包分析四步交互过程
   • 检查中继设备配置
   • 确认不存在IP冲突（display arp）

4. 性能问题：

   • 调整地址池section数量
   • 开启dhcp session refresh优化会话保持
   • 检查CPU利用率排除广播风暴

最近遇到个典型故障：某工厂车间设备频繁掉线。抓包发现DHCP Request没有收到响应，最后发现是车间交换机与核心交换机之间的MTU不匹配，导致大尺寸DHCP报文被丢弃。调整MTU后立即恢复正常。

6. 安全加固与优化建议

在金融行业项目中学到的几个关键安全实践：

1. 防中间人攻击：

   [Huawei]dhcp snooping enable
   [Huawei]interface range gigabitethernet 0/0/1 to 0/0/48
   [Huawei-if-range]dhcp snooping enable
   [Huawei-if-range]quit
   [Huawei]interface gigabitethernet 0/0/24  # 上联口
   [Huawei-GigabitEthernet0/0/24]dhcp snooping trusted
   

2. 防DoS攻击：

   [Huawei]dhcp server detect-threshold 100  # 每秒最大请求数
   [Huawei]dhcp server auto-block enable  # 自动屏蔽恶意源
   

3. 日志审计：

   [Huawei]info-center enable
   [Huawei]dhcp log enable
   [Huawei]info-center loghost 10.1.1.100
   

性能优化方面，对于超过500个节点的网络，建议：

• 启用地址池负载均衡
• 调整ARP探测间隔（dhcp server arp-detect interval 60）
• 对关键设备使用静态绑定

某电商大促期间，通过优化DHCP租期和启用负载均衡，成功应对了瞬时3000+设备的接入请求。关键配置是：

[Huawei]ip pool EC_POOL
[Huawei-ip-pool-EC_POOL]load-balance enable
[Huawei-ip-pool-EC_POOL]lease day 0 hour 2  # 2小时短租期