1. 先把话说清楚这台DHCP服务器到底要顶什么用自建DHCP这事很多人第一反应是“交换机上开一个不就完了”。真到机房落地的时候你很快会发现三层交换机那点DHCP功能不够用地址池没法按终端类型分组、静态绑定改一次要进设备命令行、租约记录导不出来、出了问题只能靠猜。所以在内网规模过了一定阈值之后把DHCP收拢到一台独立服务器上是很自然的选择。这篇接着上一轮的安装话题往下走重点不放在“装成功”这一步而是放在装完之后怎么把麒麟服务器操作系统上的DHCP服务配成能长期扛事的样子地址池怎么划、选项怎么下发、多网段怎么穿透、出问题怎么定位。麒麟服务器操作系统是典型的RPM系发行版systemd管理服务、dnf管包、firewalld管防火墙、SELinux默认开启这套底座跟传统企业级Linux高度相似所以熟悉RHEL那一套的人上手几乎没门槛。DHCP服务端用的还是ISC dhcpd这条老线配置文件语法几十年没大变稳是真稳但坑也是真坑——因为它默认的失败方式是“静默不启动”日志里就一行报错新手很容易卡在第一步。这篇内容适合三类人刚接手内网运维、需要在麒麟服务器上把DHCP跑起来的新手已经把服务装好但被多网段、静态绑定卡住的中间层以及想把这套东西做成标准化交付模板的老手。我会把配置文件的每一段为什么这么写讲清楚把参数怎么算讲清楚也会把那些文档里不会写、只有半夜被电话叫起来才会记住的坑一并摊开。需要提前说明一句本文涉及的具体IP、主机名、MAC地址全部是示例值拓扑描述做了脱敏处理你在自己环境里替换成实际规划即可。所有操作步骤基于麒麟服务器操作系统V10这一代产品的通用行为整理不同小版本之间包名和路径可能有细微差异动手前先用系统自带的命令核对一遍别直接照抄。2. 方案设计与技术选型为什么是dhcpd网段怎么切2.1 三种落地方式的横向对比与取舍逻辑在麒麟服务器上做DHCP摆在面前的无非三条路系统自带的ISC dhcpd、轻量级的dnsmasq、以及各类带Web界面的地址管理平台。我先把结论放前面——纯DHCP场景选dhcpdDHCPDNSTFTP一体的边缘场景选dnsmasq需要跨机房统一地址管理再考虑平台化方案。原因不复杂dhcpd的配置模型是“声明式”的subnet、host、group、class四层结构能把“哪个网段、哪类终端、哪台设备”三个维度的策略叠起来这是dnsmasq那种扁平配置给不了的而平台化方案引入的是额外的一整套依赖数据库、Web服务、Agent出问题时排查链条直接从一层变成四层小规模内网完全没必要。具体到这张表是我这几年在不同规模环境里踩出来的体感方案配置灵活度多网段支持静态绑定维护资源占用适合规模ISC dhcpd高支持group/class/subclass原生靠subnet与中继改配置文件可脚本化极低常驻内存几十MB50台以上长期运维dnsmasq中配置项扁平支持但策略能力弱改配置文件无分组更低20台以内边缘节点地址管理平台高图形化依赖Agent覆盖界面操作高需要独立资源多机房、上千终端选dhcpd还有一个隐性好处它的租约文件是纯文本格式规整写个脚本就能把“谁在什么时候拿了哪个地址”抽出来做资产核对。这一点在做内网终端准入的时候特别好用等于顺手白捡了一份轻量资产台账。而图形化平台往往把这块数据锁在数据库里想导出来还得另外开发。再说一个反直觉的点很多人觉得dhcpd老、不活跃是不是该换新的。实际上ISC这条线虽然更新节奏慢但协议实现极其扎实DHCP这种二十多年没变的协议要的就是稳定而不是新特性。反倒是某些新写的实现在Option 82、租期续约边界、DHCPDECLINE处理这些边角上容易翻车。2.2 地址池容量的估算方法与网段切分原则地址池划多大不能拍脑袋。我的经验公式是池容量 ≥ 峰值并发在线终端数 × 1.5那个1.5的系数来自租约的“尾巴效应”——终端下线后租约不会立刻释放要等到期或者主动RELEASE实际占用会明显高于瞬时在线数。举个具体的某办公区峰值同时在线300台终端租期设8小时那么池子至少要450个地址。如果按/24切可用地址254个明显不够得往上扩到/23510个可用或者干脆把这个区拆成两个VLAN各配一个/24。租期怎么定也有讲究。移动办公场景笔记本、手机频繁进出租期短一点2到4小时能让地址回收更快固定工位、服务器段租期可以拉到8到12小时甚至24小时减少续约报文对网络的打扰。但别把租期设得太短低于1小时之后续约流量会明显上升一个几百台的网络里DHCP报文虽然小但架不住频次高。反过来租期太长也不行终端换位置之后老地址占着不放池子会被“僵尸租约”慢慢啃光。网段切分这块我一般按“业务属性”而不是“物理位置”来切。办公终端一个段、服务器与网络设备管理口一个段、打印与IoT设备一个段、访客一个段。这么切的好处是后续做ACL、做QoS、做流量审计的时候规则可以直接按段写不用一台台点。代价是同样的物理区域里可能要跑多个VLAN交换机配置会复杂一点但这点复杂度换来的是长期的可维护性非常值。还有一个容易被忽略的细节网关地址别放在池子中间。有人图省事把网关设成网段里某个随机地址结果某天DHCP误分配出去整个段直接瘫。规规矩矩把网关放在可用地址的第一个比如10.20.30.1池子从.10开始前面留一小段给静态设备用这是最稳的做法。2.3 dhcpd的进程模型与DORA交互的时序理解理解DORA四步交互是排查一切DHCP问题的地基。客户端发DHCPDISCOVER广播源0.0.0.0目的255.255.255.255UDP 68到67服务端回DHCPOFFER客户端发DHCPREQUEST这里要注意REQUEST是广播的目的是通知其他可能发了OFFER的服务端“我选了别人”服务端回DHCPACK。整个过程走完客户端才真正配置地址。中间任何一步丢了表现都不一样只有DISCOVER没有OFFER是服务端没收到或者没匹配到subnet有OFFER没ACK往往是地址冲突检测失败或者池子刚好被抢空。dhcpd的进程模型是单进程多线程旧版本是单进程事件循环它按“收到报文的接口”去匹配配置文件里的subnet声明。这条规则至关重要如果报文是从eth0进来的而配置文件里只有eth1对应网段的subnetdhcpd会直接丢弃这个请求且不一定报错。这也是跨网段场景必须上中继的根本原因——中继会把giaddr网关地址写进报文dhcpd靠这个字段判断该用哪个subnet的池子而不是靠收到报文的接口。麒麟服务器上dhcpd默认监听所有接口的67端口但在多网卡机器上我建议在/etc/sysconfig/dhcpd里用DHCPDARGS显式指定监听网卡。原因是多网卡机器常常有一块卡连的是管理网或者带外网不该对外提供DHCP。显式指定既减少误响应风险也让日志更干净。3. 动手前的环境准备与风险排查3.1 系统状态、网络连通性与冲突服务确认装之前先做三件事看系统版本、看网卡、看有没有别的DHCP在跑。系统版本用cat /etc/os-release确认重点看VERSION_ID这决定了包名和路径对不对得上。网卡用ip addr看重点确认目标网卡的IP、掩码、是否UP以及有没有多余的地址。最容易被跳过的是第三条——确认网段里没有第二个DHCP服务在跑。我见过不止一次装完启动一切正常客户端就是拿不到地址最后抓包发现有台老路由器还开着DHCP两台设备互相抢答客户端反复在OFFER之间横跳。检查办法很土但有效在目标网段里找一台机器临时抓包过滤UDP 67看有没有非本机的OFFER。如果条件不允许抓包就把三层交换机、路由器、防火墙上的DHCP功能挨个确认关闭。这件事必须在装之前做完装完再查你连“到底是我的问题还是别人的问题”都分不清。系统层面还要确认两件事防火墙状态和SELinux状态。systemctl status firewalld和getenforce。这两个不是让你关掉而是让你知道后面出问题该往哪儿看。我强烈建议不要关防火墙也不要关SELinux正确做法是加放行规则这个下一节讲。3.2 防火墙放行与SELinux策略的正确姿势firewalld放行DHCP只要一条命令但要注意--permanent和立即生效是两回事firewall-cmd --permanent --add-servicedhcp firewall-cmd --reload firewall-cmd --list-servicesdhcp这个service在firewalld里预定义好了67/udp和68/udp不用手写端口。如果你的环境把zone改过得确认目标网卡所在的zone里加上了这条规则光在public zone加、网卡却在internal zone照样不通。用firewall-cmd --get-active-zones看清楚网卡挂在哪个zone。SELinux这块dhcpd的默认策略已经允许绑定67端口和读写/var/lib/dhcpd/正常安装不用动。但有两类操作会踩到策略一是把租约文件或配置文件挪到非标准路径比如你嫌/etc太乱把conf放到/opt下二是让dhcpd去读TFTP目录做PXE。前者用semanage fcontext打标签后者要开tftp相关的布尔值。碰到Permission denied先看/var/log/audit/audit.log用ausearch -m avc -ts recent捞最近的拒绝记录别一上来就setenforce 0那是把报警器拆了而不是把火灭了。3.3 时间同步与日志落地的前置安排DHCP对时间精度要求不高但租约时间戳全靠系统时间机器时间飘了会导致租约看起来“提前过期”或者“永不过期”排查时极其误导人。装之前顺手确认chronyd或systemd-timesyncd在跑timedatectl看一眼是否System clock synchronized: yes。这个小动作花不了一分钟能省掉后面半小时的困惑。日志方面dhcpd默认往syslog写落在/var/log/messages里。如果你的环境把messages轮转得很勤建议给dhcp单独配一个日志落地点或者在rsyslog里加一条规则把dhcpd这个facility单独分流。理由很实际排查DHCP问题时经常需要回溯“昨天下午三点那台机器为什么没拿到地址”日志被轮转掉了就只能靠猜。租约文件/var/lib/dhcpd/dhcpd.leases也要留意它只记录当前和历史租约不记录失败原因所以日志和租约文件得配合着看。4. 安装与配置文件逐行拆解4.1 包安装、目录结构与服务单元确认麒麟服务器操作系统上装DHCP服务端包名是dhcp-server客户端是dhcp-client别装错dnf install -y dhcp-server rpm -ql dhcp-server | head -30装完先看文件清单把几个关键路径记住路径作用备注/etc/dhcp/dhcpd.conf主配置文件装完是空的只有注释提示/etc/dhcp/dhcpd.conf.example示例配置参考用别直接改名顶上/var/lib/dhcpd/dhcpd.leases租约数据库纯文本服务自动维护/etc/sysconfig/dhcpd启动参数用来指定监听网卡/usr/lib/systemd/system/dhcpd.service服务单元确认ExecStart路径dhcpd.conf装完是空的这一点要特别提醒很多人装完直接systemctl start dhcpd然后看到failed以为是装坏了其实是配置为空导致服务拒绝启动。dhcpd有个设计原则——没有匹配的subnet声明就拒绝启动宁可起不来也不乱发地址。这个原则很对但对新手不友好得心里有数。4.2 全局参数与subnet声明的写法与含义先给一份能直接用的骨架再逐段解释# 全局段 ddns-update-style none; authoritative; log-facility local7; default-lease-time 28800; max-lease-time 43200; option domain-name corp.internal; option domain-name-servers 10.20.30.2, 10.20.30.3; option ntp-servers 10.20.30.4; # 网段声明 subnet 10.20.30.0 netmask 255.255.255.0 { range 10.20.30.10 10.20.30.200; option routers 10.20.30.1; option broadcast-address 10.20.30.255; option subnet-mask 255.255.255.0; }ddns-update-style none;这行是必须的。dhcpd有动态DNS更新功能默认行为在不同版本间不一致不显式关掉的话某些版本会尝试更新DNS然后失败刷日志。你没有DNS联动需求就写none有需求再单独配。authoritative;这行值得单独说。不加它dhcpd对“客户端请求了一个不属于本网段的地址”这种情况会保持沉默客户端只能等到超时才重来加了它dhcpd会主动回DHCPNAK客户端立刻重新走DISCOVER故障恢复时间从几十秒缩到一两秒。只要这是你这个网段唯一的DHCP服务器就一定要加authoritative。反过来如果网段里有多个DHCP服务在跑比如过渡期加了这个会互相打脸那就别加。租期两个参数配合着看default-lease-time是客户端没提要求时给的租期max-lease-time是客户端要求再长也不能超过的上限。我给的一组常见值是8小时和12小时办公场景够用。option domain-name-servers和option routers是下发频率最高的两个选项写法上要注意逗号分隔、结尾分号多值之间不要有中文逗号——配置文件里混进中文标点是新手最常见的语法错误来源dhcpd -t会给你指出来但那行号有时候偏得离谱。option broadcast-address很多人不写觉得系统会自动算。实际上不同客户端对“没收到广播地址”的处理不一致有的自己按掩码算有的干脆用255.255.255.255个别老设备会因此在特定协议上出问题。这行成本为零写上更稳妥。4.3 静态绑定、分组策略与PXE引导选项静态绑定是自建DHCP相对交换机DHCP最大的优势——一条host声明改完重载就生效不用登设备host printer-3f-01 { hardware ethernet 00:11:22:33:44:55; fixed-address 10.20.30.8; option host-name printer-3f-01; }这里有个坑fixed-address指向的地址如果落在range池子里dhcpd会把这个地址从池子中排除但如果客户端换了网卡、MAC变了老地址会一直被占着。所以我的习惯是把所有固定地址规划在池子外面池子从.10开始固定地址用.2到.9这一小段两不相干最省心。group声明用来做批量策略典型场景是给某类设备统一下发不同的网关或DNSgroup { option domain-name-servers 10.20.30.5; host iot-gw-01 { hardware ethernet AA:BB:CC:DD:EE:01; fixed-address 10.20.30.21; } host iot-gw-02 { hardware ethernet AA:BB:CC:DD:EE:02; fixed-address 10.20.30.22; } }PXE引导的选项也是在这一层加。做批量装机的时候DHCP是整条链路的第一环配错了后面TFTP、HTTP全都白搭subnet 10.20.40.0 netmask 255.255.255.0 { range 10.20.40.100 10.20.40.200; option routers 10.20.40.1; next-server 10.20.40.5; filename pxelinux.0; }next-server指TFTP服务器地址filename指引导文件名。这里有个细节UEFI客户端和传统BIOS客户端要的文件不一样前者要grubx64.efi之类后者要pxelinux.0。dhcpd支持用class按客户端架构区分报文里的Option 93Client System Architecture就是干这个的。如果你的环境两种机器都有得配两套option arch code 93 unsigned integer 16; class pxeclients { match if substring (option vendor-class-identifier, 0, 9) PXEClient; if option arch 00:07 { filename grubx64.efi; } else { filename pxelinux.0; } }这段配置看着吓人其实就是个if判断。00:07是UEFI x64的架构码00:00是传统BIOS。我第一次配的时候忘了写option arch code 93这行dhcpd直接报语法错卡了半小时才反应过来是自定义选项没声明。5. 多网段、中继与高可用从单机到成网5.1 shared-network的使用与中继部署要点单网段场景到这儿就够了。一旦要服务多个网段先分清两种情况服务器有多块网卡分别接在不同网段和服务器只有一块网卡、靠中继跨网段服务。前者简单每个网段写一个subnet声明dhcpd按收包接口自动匹配后者必须部署中继把广播报文转成单播送到服务器。中继的部署位置一般在三层交换机或者一台Linux主机上。Linux做中继用dhcrelaydnf install -y dhcp-relay dhcrelay -i eth1 10.20.30.100-i指定下游接口面向客户端那侧后面跟DHCP服务器地址。生产环境建议用systemd单元托管而不是手工跑参数写进/etc/sysconfig/dhcrelay。这里有个必须理解的机制中继填的giaddr是下游接口的IPdhcpd靠这个IP去配置文件的subnet声明里找匹配项。所以如果在交换机上做中继交换机上那个VLAN接口的地址必须能对上某个subnet声明对不上就是静默丢弃。我遇到过一回交换机上VLAN接口配的是/24里的.254而配置文件里subnet写的是另一个网段症状是“部分网段能拿地址、部分不能”查了一下午才发现是网段对不上。shared-network用在什么场景当一个物理网络里跑多个逻辑子网、且这些子网共享同一套选项时用。比如同一个VLAN里既有IPv4主网段又有几个零散的小段把它们包在一个shared-network里dhcpd会把这些subnet的池子视为一个整体来做分配决策。注意shared-network不会扩大广播域它只是配置层面的分组别把它和VLAN混为一谈。5.2 双机热备的拆分思路与租约同步的现实做法ISC dhcpd有个failover协议两台服务器一主一备通过TCP 519端口同步租约状态。配置起来不算复杂主备各有一份failover peer声明但真正落地时有两个现实问题一是脑裂风险网络抖动导致主备都认为对方挂了双双进入“我才是主”的状态地址分配就乱了二是版本兼容两台机器的dhcpd版本最好完全一致否则协议细节对不上。我个人的做法是能用VRRP或者负载均衡做前置就别用failover协议。两台独立的DHCP服务器各自配置相同但池子互补比如A机管.10到.110B机管.111到.200前面用keepalived把VIP切过去。这种“伪双机”的优点是任何一台挂了另一台立即可用且不依赖协议同步缺点是地址池利用率只有一半而且切换瞬间正在续约的终端会失败一次。对绝大多数内网来说这个代价是可以接受的比脑裂带来的随机故障好治得多。如果真的要用failover重点盯三件事两台机器时间同步、mcltMaximum Client Lead Time参数两边一致、以及定期检查dhcpd.leases里的状态标记primary/secondary/backup。状态不对的时候服务看起来是running实际已经不分地址了。5.3 租约文件的解析与日志的关键字段/var/lib/dhcpd/dhcpd.leases是纯文本格式长这样lease 10.20.30.57 { starts 3 2025/03/12 08:15:22; ends 3 2025/03/12 16:15:22; cltt 3 2025/03/12 08:15:22; binding state active; next binding state free; hardware ethernet 3C:52:82:1A:2B:3C; uid \001\074\122\202\032\053\074; client-hostname ws-a-057; }几个字段值得记住starts和ends是租约起止时间cltt是最后一次交互时间binding state有active/free/backup/abandoned几种。abandoned这个状态要特别留意——dhcpd在分配前会做冲突检测ICMP ping如果ping通了说明这个地址已被占用就把租约标记为abandoned并跳过。abandoned状态默认一小时左右自动释放但如果你的网络里arp欺骗或者设备私配地址比较多abandoned会积累得很快池子会被慢慢啃掉。定期grep abandoned数一下数量是个很实用的健康度指标。日志里要抓的关键词DHCPDISCOVER from、DHCPOFFER on、DHCPREQUEST for、DHCPACK on、DHCPNAK on、abandoning、no free leases。no free leases是池子耗尽的直接信号出现这个就要立刻扩池或者缩短租期。DHCPNAK on大量出现通常是客户端缓存了老网段的地址或者网络里存在另一台选择了不同网段的DHCP服务器。6. 启动、验证与客户端实测6.1 语法检查、网卡绑定与启动排错顺序启动前先做语法检查这一步能省掉90%的启动失败dhcpd -t -cf /etc/dhcp/dhcpd.conf输出里如果有/etc/dhcp/dhcpd.conf line X: ...就是明确了行号如果只报Configuration file errors encountered -- exiting而没给行号往往是因为subnet声明缺失或者网卡不匹配这类错误-t检查不出来得靠启动时的日志。指定监听网卡echo DHCPDARGSeth1 /etc/sysconfig/dhcpd然后启动并立刻看日志不要只看systemctl status的绿点systemctl enable --now dhcpd journalctl -u dhcpd -n 50 --no-pager典型的启动失败就那么几种日志里其实写得很明白只是关键词不熟No subnet declaration for eth1意思是网卡IP不在任何subnet里Not configured to listen on any interfaces是DHCPDARGS指定的网卡名写错了或者网卡没UPCant open lease database是租约文件权限不对通常是之前用root手工改过文件属主Address already in use是67端口被占了ss -ulnp | grep 67查是谁。这些错误我建议都自己手动造一遍看看日志长什么样比背下来强。6.2 抓包看完整的DORA交互配置看着对不代表真能分地址。最直接的验证是在服务端抓包tcpdump -i eth1 -n -vv port 67 or port 68然后在网段里找一台客户端触发一次请求。正常的四步报文长这样DISCOVER客户端广播→ OFFER服务端单播或广播→ REQUEST客户端广播→ ACK服务端回。如果只看到DISCOVER没有OFFER问题在服务端如果有OFFER但客户端没反应问题在下发选项或者客户端。我习惯在客户端侧也抓一次两边对照着看。服务端抓包和客户端抓包的差别能快速定位丢包发生在哪一跳。特别是跨中继的场景服务端看到的源地址是中继的客户端看到的目的地址是广播两边的视角完全不一样单看一边容易误判。还有一个实用技巧用dhcpcd -T eth0或者dhclient -1 -v eth0这类客户端命令做单次请求测试比等真实终端来得快。麒麟服务器上如果装了dhcp-clientdhclient -1 -d eth0可以前台跑把整个交互过程打在终端上看得一清二楚。6.3 租约落地验证与下发选项核对客户端拿到地址之后别急着说成功要核对三件事地址、网关、DNS是否都符合预期。客户端侧用ip addr、ip route、cat /etc/resolv.conf或者resolvectl status取决于系统用的是哪套解析器逐项对。服务端侧进租约文件确认这条记录生成了binding state是active。DNS这块有个常见偏差resolv.conf被NetworkManager或者其他管理工具接管了DHCP下发的DNS压根没写进去。麒麟服务器上要看/etc/NetworkManager/conf.d/下有没有配置dnsnone之类或者/etc/resolv.conf是不是软链到systemd-resolved的stub文件。这个不归DHCP管但表现出来就是“DHCP配了DNS却不生效”容易把排查方向带偏。网关也要验证。客户端ip route里有default via 10.20.30.1才算对。如果下发的网关地址跟实际三层设备不符客户端能拿到地址但上不了网症状是“IP有了、ping不通外网”很多人第一反应是DNS问题实际是网关错了。这种情况回头查配置文件里option routers那行八成是复制粘贴别的网段忘了改。7. 常见问题速查与踩坑记录7.1 服务起不来与起得来但不工作的两类排查线排查DHCP问题先做一次二分服务起没起来。没起来问题在配置文件和系统环境起来了但不工作问题在网络链路和报文交互。这两条线的排查路径完全不同混在一起查最浪费时间。服务起不来按这个顺序走dhcpd -t看语法 →journalctl -u dhcpd看具体报错 → 检查subnet声明是否覆盖了监听网卡的IP → 检查DHCPDARGS的网卡名 → 检查租约文件权限。这五步基本能覆盖九成情况。服务起来了但客户端拿不到地址按这个顺序服务端抓包看有没有收到DISCOVER → 收到了没回OFFER查subnet匹配和池子是否耗尽 → 回了OFFER没收到REQUEST查中间网络是否拦截广播 → 收到REQUEST没回ACK查地址冲突检测和authoritative行为 → 全流程正常但客户端配置没生效查客户端侧的地址管理工具是否接管。这个顺序的价值在于每一步都能明确排除一类原因而不是东一榔头西一棒子。7.2 高频故障对照表与背后成因下面这张表是我这些年攒下来的基本覆盖了日常会遇到的情况现象最可能原因快速验证方法处理方式启动失败提示No subnet declaration网卡IP不在任何subnet内ip addr对照配置文件补subnet声明或改监听网卡启动失败提示Cant open lease database租约文件属主或权限被改ls -l /var/lib/dhcpd/恢复为dhcpd用户可写客户端拿不到地址服务端无日志报文没到服务端或网卡监听错两端同时抓包检查中继、VLAN、DHCPDARGS部分网段正常部分网段不行中继giaddr与subnet声明不匹配抓包看giaddr字段对齐中继接口地址与subnet网段大量DHCPNAK网段内存在第二个DHCP服务抓包看OFFER来源关闭多余DHCP或去掉authoritative池子显示还有地址但分配失败abandoned租约堆积grep -c abandoned租约文件排查私配地址设备等待自动释放客户端频繁重新获取地址租期过短或续约失败抓包看REQUEST频次调长租期检查中间设备是否拦截单播下发了DNS但客户端不生效客户端解析器被其他工具接管resolvectl status调整客户端侧管理工具配置表格之外还有两个不太常见但很折磨人的问题值得单独说。第一个是MTU导致的续约失败DHCP报文本身很小但如果中间走了隧道或者特殊封装某些选项较多的ACK可能超MTU被丢。症状是首次获取正常续约时好时坏。验证方法是看服务端日志里有没有REQUEST但没有对应的ACK记录配合抓包看是否有分片。处理方式是精简下发的选项别一次塞太多自定义option。第二个是时钟偏移导致的租约异常。虚拟机环境里特别常见宿主机暂停恢复之后客户机时间跳变租约的起止时间算出来是负的或者超长。症状是租约文件里出现ends早于starts的记录。这类问题不属于DHCP本身但会实实在在影响地址回收排查时容易被忽略。定期核对NTP状态能避免大部分这类问题。7.3 几条不上台面但很省事的实操习惯第一条改配置前先备份而且备份带时间戳。cp dhcpd.conf dhcpd.conf.$(date %Y%m%d%H%M)看着啰嗦但当你改崩了想回滚、又记不清哪版是对的时候这几秒钟能救命。dhcpd没有配置版本管理全靠自己。第二条用dhcpd -t做语法检查但别只信它。它能查出语法错查不出逻辑错。subnet写对了但网段写错、池子范围超出子网、网关不在子网内这些它都不管。我的习惯是配置写完先人工通读一遍数字尤其掩码和网段这两处粘贴错一位就是灾难。第三条新配置上线先在测试网段灰度。dhcpd支持一台机器服务多个网段你可以先只对测试VLAN开放验证通过再逐个加。直接全网上线一旦池子划小了全网终端轮流掉线那个场面很难看。第四条给租约文件留足磁盘空间并且监控它。租约文件会持续增长虽然dhcpd会定期清理过期记录但高频分配的环境下它涨得比你想象的快。写个简单的监控超过一定大小告警比等磁盘满了服务写不进去再救要主动得多。8. 我在实际部署里攒下的几点体会配置文件的正确性只是及格线真正决定这套服务能不能长期稳定跑的是几件配置之外的事。第一件是地址规划要留白。我现在的习惯是每个网段的池子只用该网段可用地址的60%左右剩下的留给静态设备、临时扩容和故障时的腾挪空间。池子划到90%看着利用率高实际上一旦有设备私配地址导致冲突abandoned一堆积立刻就不够用了而扩池意味着要改配置、要重载、要通知成本远高于当初少划那几十个地址。第二件是把租约数据用起来。很多人装完DHCP就只把它当个发地址的工具其实租约文件是一份现成的终端在线台账。写个脚本定期把active状态的租约导成CSV跟资产系统对一遍能发现不少“登记了但不在线”“在线但没登记”的偏差。这件事不需要多复杂的技术一个grep加awk就够但坚持做下来对内网资产的可控度提升非常明显。第三件是别把DHCP当成孤岛。它跟DNS、跟准入、跟监控都有天然的联动点。下发的DNS服务器地址变了DHCP配置要跟着改新终端入网要做准入DHCP的租约事件是个很好的触发源服务本身的状态要进监控67端口的响应情况、池子余量、abandoned数量这三个指标做成告警基本能提前发现绝大多数问题。这些联动不一定要一次做完但心里得有这张图后面逐步补比事后推倒重来省事得多。最后说个小技巧。排查“某台特定终端拿不到地址”这类问题最快的办法不是看配置文件而是先在服务端按MAC过滤日志journalctl -u dhcpd | grep -i 3c:52:82。如果日志里连这个MAC的DISCOVER都没有说明报文根本没到问题在网络侧如果有DISCOVER没OFFER说明匹配失败问题在配置侧如果有OFFER没REQUEST说明客户端侧或者中间链路有问题。这三行grep一跑方向基本就定了比翻配置文件猜快得多。这套方法我在不同环境里用过很多次屡试不爽你也可以直接拿去用。
1. 先把话说清楚这台DHCP服务器到底要顶什么用自建DHCP这事很多人第一反应是“交换机上开一个不就完了”。真到机房落地的时候你很快会发现三层交换机那点DHCP功能不够用地址池没法按终端类型分组、静态绑定改一次要进设备命令行、租约记录导不出来、出了问题只能靠猜。所以在内网规模过了一定阈值之后把DHCP收拢到一台独立服务器上是很自然的选择。这篇接着上一轮的安装话题往下走重点不放在“装成功”这一步而是放在装完之后怎么把麒麟服务器操作系统上的DHCP服务配成能长期扛事的样子地址池怎么划、选项怎么下发、多网段怎么穿透、出问题怎么定位。麒麟服务器操作系统是典型的RPM系发行版systemd管理服务、dnf管包、firewalld管防火墙、SELinux默认开启这套底座跟传统企业级Linux高度相似所以熟悉RHEL那一套的人上手几乎没门槛。DHCP服务端用的还是ISC dhcpd这条老线配置文件语法几十年没大变稳是真稳但坑也是真坑——因为它默认的失败方式是“静默不启动”日志里就一行报错新手很容易卡在第一步。这篇内容适合三类人刚接手内网运维、需要在麒麟服务器上把DHCP跑起来的新手已经把服务装好但被多网段、静态绑定卡住的中间层以及想把这套东西做成标准化交付模板的老手。我会把配置文件的每一段为什么这么写讲清楚把参数怎么算讲清楚也会把那些文档里不会写、只有半夜被电话叫起来才会记住的坑一并摊开。需要提前说明一句本文涉及的具体IP、主机名、MAC地址全部是示例值拓扑描述做了脱敏处理你在自己环境里替换成实际规划即可。所有操作步骤基于麒麟服务器操作系统V10这一代产品的通用行为整理不同小版本之间包名和路径可能有细微差异动手前先用系统自带的命令核对一遍别直接照抄。2. 方案设计与技术选型为什么是dhcpd网段怎么切2.1 三种落地方式的横向对比与取舍逻辑在麒麟服务器上做DHCP摆在面前的无非三条路系统自带的ISC dhcpd、轻量级的dnsmasq、以及各类带Web界面的地址管理平台。我先把结论放前面——纯DHCP场景选dhcpdDHCPDNSTFTP一体的边缘场景选dnsmasq需要跨机房统一地址管理再考虑平台化方案。原因不复杂dhcpd的配置模型是“声明式”的subnet、host、group、class四层结构能把“哪个网段、哪类终端、哪台设备”三个维度的策略叠起来这是dnsmasq那种扁平配置给不了的而平台化方案引入的是额外的一整套依赖数据库、Web服务、Agent出问题时排查链条直接从一层变成四层小规模内网完全没必要。具体到这张表是我这几年在不同规模环境里踩出来的体感方案配置灵活度多网段支持静态绑定维护资源占用适合规模ISC dhcpd高支持group/class/subclass原生靠subnet与中继改配置文件可脚本化极低常驻内存几十MB50台以上长期运维dnsmasq中配置项扁平支持但策略能力弱改配置文件无分组更低20台以内边缘节点地址管理平台高图形化依赖Agent覆盖界面操作高需要独立资源多机房、上千终端选dhcpd还有一个隐性好处它的租约文件是纯文本格式规整写个脚本就能把“谁在什么时候拿了哪个地址”抽出来做资产核对。这一点在做内网终端准入的时候特别好用等于顺手白捡了一份轻量资产台账。而图形化平台往往把这块数据锁在数据库里想导出来还得另外开发。再说一个反直觉的点很多人觉得dhcpd老、不活跃是不是该换新的。实际上ISC这条线虽然更新节奏慢但协议实现极其扎实DHCP这种二十多年没变的协议要的就是稳定而不是新特性。反倒是某些新写的实现在Option 82、租期续约边界、DHCPDECLINE处理这些边角上容易翻车。2.2 地址池容量的估算方法与网段切分原则地址池划多大不能拍脑袋。我的经验公式是池容量 ≥ 峰值并发在线终端数 × 1.5那个1.5的系数来自租约的“尾巴效应”——终端下线后租约不会立刻释放要等到期或者主动RELEASE实际占用会明显高于瞬时在线数。举个具体的某办公区峰值同时在线300台终端租期设8小时那么池子至少要450个地址。如果按/24切可用地址254个明显不够得往上扩到/23510个可用或者干脆把这个区拆成两个VLAN各配一个/24。租期怎么定也有讲究。移动办公场景笔记本、手机频繁进出租期短一点2到4小时能让地址回收更快固定工位、服务器段租期可以拉到8到12小时甚至24小时减少续约报文对网络的打扰。但别把租期设得太短低于1小时之后续约流量会明显上升一个几百台的网络里DHCP报文虽然小但架不住频次高。反过来租期太长也不行终端换位置之后老地址占着不放池子会被“僵尸租约”慢慢啃光。网段切分这块我一般按“业务属性”而不是“物理位置”来切。办公终端一个段、服务器与网络设备管理口一个段、打印与IoT设备一个段、访客一个段。这么切的好处是后续做ACL、做QoS、做流量审计的时候规则可以直接按段写不用一台台点。代价是同样的物理区域里可能要跑多个VLAN交换机配置会复杂一点但这点复杂度换来的是长期的可维护性非常值。还有一个容易被忽略的细节网关地址别放在池子中间。有人图省事把网关设成网段里某个随机地址结果某天DHCP误分配出去整个段直接瘫。规规矩矩把网关放在可用地址的第一个比如10.20.30.1池子从.10开始前面留一小段给静态设备用这是最稳的做法。2.3 dhcpd的进程模型与DORA交互的时序理解理解DORA四步交互是排查一切DHCP问题的地基。客户端发DHCPDISCOVER广播源0.0.0.0目的255.255.255.255UDP 68到67服务端回DHCPOFFER客户端发DHCPREQUEST这里要注意REQUEST是广播的目的是通知其他可能发了OFFER的服务端“我选了别人”服务端回DHCPACK。整个过程走完客户端才真正配置地址。中间任何一步丢了表现都不一样只有DISCOVER没有OFFER是服务端没收到或者没匹配到subnet有OFFER没ACK往往是地址冲突检测失败或者池子刚好被抢空。dhcpd的进程模型是单进程多线程旧版本是单进程事件循环它按“收到报文的接口”去匹配配置文件里的subnet声明。这条规则至关重要如果报文是从eth0进来的而配置文件里只有eth1对应网段的subnetdhcpd会直接丢弃这个请求且不一定报错。这也是跨网段场景必须上中继的根本原因——中继会把giaddr网关地址写进报文dhcpd靠这个字段判断该用哪个subnet的池子而不是靠收到报文的接口。麒麟服务器上dhcpd默认监听所有接口的67端口但在多网卡机器上我建议在/etc/sysconfig/dhcpd里用DHCPDARGS显式指定监听网卡。原因是多网卡机器常常有一块卡连的是管理网或者带外网不该对外提供DHCP。显式指定既减少误响应风险也让日志更干净。3. 动手前的环境准备与风险排查3.1 系统状态、网络连通性与冲突服务确认装之前先做三件事看系统版本、看网卡、看有没有别的DHCP在跑。系统版本用cat /etc/os-release确认重点看VERSION_ID这决定了包名和路径对不对得上。网卡用ip addr看重点确认目标网卡的IP、掩码、是否UP以及有没有多余的地址。最容易被跳过的是第三条——确认网段里没有第二个DHCP服务在跑。我见过不止一次装完启动一切正常客户端就是拿不到地址最后抓包发现有台老路由器还开着DHCP两台设备互相抢答客户端反复在OFFER之间横跳。检查办法很土但有效在目标网段里找一台机器临时抓包过滤UDP 67看有没有非本机的OFFER。如果条件不允许抓包就把三层交换机、路由器、防火墙上的DHCP功能挨个确认关闭。这件事必须在装之前做完装完再查你连“到底是我的问题还是别人的问题”都分不清。系统层面还要确认两件事防火墙状态和SELinux状态。systemctl status firewalld和getenforce。这两个不是让你关掉而是让你知道后面出问题该往哪儿看。我强烈建议不要关防火墙也不要关SELinux正确做法是加放行规则这个下一节讲。3.2 防火墙放行与SELinux策略的正确姿势firewalld放行DHCP只要一条命令但要注意--permanent和立即生效是两回事firewall-cmd --permanent --add-servicedhcp firewall-cmd --reload firewall-cmd --list-servicesdhcp这个service在firewalld里预定义好了67/udp和68/udp不用手写端口。如果你的环境把zone改过得确认目标网卡所在的zone里加上了这条规则光在public zone加、网卡却在internal zone照样不通。用firewall-cmd --get-active-zones看清楚网卡挂在哪个zone。SELinux这块dhcpd的默认策略已经允许绑定67端口和读写/var/lib/dhcpd/正常安装不用动。但有两类操作会踩到策略一是把租约文件或配置文件挪到非标准路径比如你嫌/etc太乱把conf放到/opt下二是让dhcpd去读TFTP目录做PXE。前者用semanage fcontext打标签后者要开tftp相关的布尔值。碰到Permission denied先看/var/log/audit/audit.log用ausearch -m avc -ts recent捞最近的拒绝记录别一上来就setenforce 0那是把报警器拆了而不是把火灭了。3.3 时间同步与日志落地的前置安排DHCP对时间精度要求不高但租约时间戳全靠系统时间机器时间飘了会导致租约看起来“提前过期”或者“永不过期”排查时极其误导人。装之前顺手确认chronyd或systemd-timesyncd在跑timedatectl看一眼是否System clock synchronized: yes。这个小动作花不了一分钟能省掉后面半小时的困惑。日志方面dhcpd默认往syslog写落在/var/log/messages里。如果你的环境把messages轮转得很勤建议给dhcp单独配一个日志落地点或者在rsyslog里加一条规则把dhcpd这个facility单独分流。理由很实际排查DHCP问题时经常需要回溯“昨天下午三点那台机器为什么没拿到地址”日志被轮转掉了就只能靠猜。租约文件/var/lib/dhcpd/dhcpd.leases也要留意它只记录当前和历史租约不记录失败原因所以日志和租约文件得配合着看。4. 安装与配置文件逐行拆解4.1 包安装、目录结构与服务单元确认麒麟服务器操作系统上装DHCP服务端包名是dhcp-server客户端是dhcp-client别装错dnf install -y dhcp-server rpm -ql dhcp-server | head -30装完先看文件清单把几个关键路径记住路径作用备注/etc/dhcp/dhcpd.conf主配置文件装完是空的只有注释提示/etc/dhcp/dhcpd.conf.example示例配置参考用别直接改名顶上/var/lib/dhcpd/dhcpd.leases租约数据库纯文本服务自动维护/etc/sysconfig/dhcpd启动参数用来指定监听网卡/usr/lib/systemd/system/dhcpd.service服务单元确认ExecStart路径dhcpd.conf装完是空的这一点要特别提醒很多人装完直接systemctl start dhcpd然后看到failed以为是装坏了其实是配置为空导致服务拒绝启动。dhcpd有个设计原则——没有匹配的subnet声明就拒绝启动宁可起不来也不乱发地址。这个原则很对但对新手不友好得心里有数。4.2 全局参数与subnet声明的写法与含义先给一份能直接用的骨架再逐段解释# 全局段 ddns-update-style none; authoritative; log-facility local7; default-lease-time 28800; max-lease-time 43200; option domain-name corp.internal; option domain-name-servers 10.20.30.2, 10.20.30.3; option ntp-servers 10.20.30.4; # 网段声明 subnet 10.20.30.0 netmask 255.255.255.0 { range 10.20.30.10 10.20.30.200; option routers 10.20.30.1; option broadcast-address 10.20.30.255; option subnet-mask 255.255.255.0; }ddns-update-style none;这行是必须的。dhcpd有动态DNS更新功能默认行为在不同版本间不一致不显式关掉的话某些版本会尝试更新DNS然后失败刷日志。你没有DNS联动需求就写none有需求再单独配。authoritative;这行值得单独说。不加它dhcpd对“客户端请求了一个不属于本网段的地址”这种情况会保持沉默客户端只能等到超时才重来加了它dhcpd会主动回DHCPNAK客户端立刻重新走DISCOVER故障恢复时间从几十秒缩到一两秒。只要这是你这个网段唯一的DHCP服务器就一定要加authoritative。反过来如果网段里有多个DHCP服务在跑比如过渡期加了这个会互相打脸那就别加。租期两个参数配合着看default-lease-time是客户端没提要求时给的租期max-lease-time是客户端要求再长也不能超过的上限。我给的一组常见值是8小时和12小时办公场景够用。option domain-name-servers和option routers是下发频率最高的两个选项写法上要注意逗号分隔、结尾分号多值之间不要有中文逗号——配置文件里混进中文标点是新手最常见的语法错误来源dhcpd -t会给你指出来但那行号有时候偏得离谱。option broadcast-address很多人不写觉得系统会自动算。实际上不同客户端对“没收到广播地址”的处理不一致有的自己按掩码算有的干脆用255.255.255.255个别老设备会因此在特定协议上出问题。这行成本为零写上更稳妥。4.3 静态绑定、分组策略与PXE引导选项静态绑定是自建DHCP相对交换机DHCP最大的优势——一条host声明改完重载就生效不用登设备host printer-3f-01 { hardware ethernet 00:11:22:33:44:55; fixed-address 10.20.30.8; option host-name printer-3f-01; }这里有个坑fixed-address指向的地址如果落在range池子里dhcpd会把这个地址从池子中排除但如果客户端换了网卡、MAC变了老地址会一直被占着。所以我的习惯是把所有固定地址规划在池子外面池子从.10开始固定地址用.2到.9这一小段两不相干最省心。group声明用来做批量策略典型场景是给某类设备统一下发不同的网关或DNSgroup { option domain-name-servers 10.20.30.5; host iot-gw-01 { hardware ethernet AA:BB:CC:DD:EE:01; fixed-address 10.20.30.21; } host iot-gw-02 { hardware ethernet AA:BB:CC:DD:EE:02; fixed-address 10.20.30.22; } }PXE引导的选项也是在这一层加。做批量装机的时候DHCP是整条链路的第一环配错了后面TFTP、HTTP全都白搭subnet 10.20.40.0 netmask 255.255.255.0 { range 10.20.40.100 10.20.40.200; option routers 10.20.40.1; next-server 10.20.40.5; filename pxelinux.0; }next-server指TFTP服务器地址filename指引导文件名。这里有个细节UEFI客户端和传统BIOS客户端要的文件不一样前者要grubx64.efi之类后者要pxelinux.0。dhcpd支持用class按客户端架构区分报文里的Option 93Client System Architecture就是干这个的。如果你的环境两种机器都有得配两套option arch code 93 unsigned integer 16; class pxeclients { match if substring (option vendor-class-identifier, 0, 9) PXEClient; if option arch 00:07 { filename grubx64.efi; } else { filename pxelinux.0; } }这段配置看着吓人其实就是个if判断。00:07是UEFI x64的架构码00:00是传统BIOS。我第一次配的时候忘了写option arch code 93这行dhcpd直接报语法错卡了半小时才反应过来是自定义选项没声明。5. 多网段、中继与高可用从单机到成网5.1 shared-network的使用与中继部署要点单网段场景到这儿就够了。一旦要服务多个网段先分清两种情况服务器有多块网卡分别接在不同网段和服务器只有一块网卡、靠中继跨网段服务。前者简单每个网段写一个subnet声明dhcpd按收包接口自动匹配后者必须部署中继把广播报文转成单播送到服务器。中继的部署位置一般在三层交换机或者一台Linux主机上。Linux做中继用dhcrelaydnf install -y dhcp-relay dhcrelay -i eth1 10.20.30.100-i指定下游接口面向客户端那侧后面跟DHCP服务器地址。生产环境建议用systemd单元托管而不是手工跑参数写进/etc/sysconfig/dhcrelay。这里有个必须理解的机制中继填的giaddr是下游接口的IPdhcpd靠这个IP去配置文件的subnet声明里找匹配项。所以如果在交换机上做中继交换机上那个VLAN接口的地址必须能对上某个subnet声明对不上就是静默丢弃。我遇到过一回交换机上VLAN接口配的是/24里的.254而配置文件里subnet写的是另一个网段症状是“部分网段能拿地址、部分不能”查了一下午才发现是网段对不上。shared-network用在什么场景当一个物理网络里跑多个逻辑子网、且这些子网共享同一套选项时用。比如同一个VLAN里既有IPv4主网段又有几个零散的小段把它们包在一个shared-network里dhcpd会把这些subnet的池子视为一个整体来做分配决策。注意shared-network不会扩大广播域它只是配置层面的分组别把它和VLAN混为一谈。5.2 双机热备的拆分思路与租约同步的现实做法ISC dhcpd有个failover协议两台服务器一主一备通过TCP 519端口同步租约状态。配置起来不算复杂主备各有一份failover peer声明但真正落地时有两个现实问题一是脑裂风险网络抖动导致主备都认为对方挂了双双进入“我才是主”的状态地址分配就乱了二是版本兼容两台机器的dhcpd版本最好完全一致否则协议细节对不上。我个人的做法是能用VRRP或者负载均衡做前置就别用failover协议。两台独立的DHCP服务器各自配置相同但池子互补比如A机管.10到.110B机管.111到.200前面用keepalived把VIP切过去。这种“伪双机”的优点是任何一台挂了另一台立即可用且不依赖协议同步缺点是地址池利用率只有一半而且切换瞬间正在续约的终端会失败一次。对绝大多数内网来说这个代价是可以接受的比脑裂带来的随机故障好治得多。如果真的要用failover重点盯三件事两台机器时间同步、mcltMaximum Client Lead Time参数两边一致、以及定期检查dhcpd.leases里的状态标记primary/secondary/backup。状态不对的时候服务看起来是running实际已经不分地址了。5.3 租约文件的解析与日志的关键字段/var/lib/dhcpd/dhcpd.leases是纯文本格式长这样lease 10.20.30.57 { starts 3 2025/03/12 08:15:22; ends 3 2025/03/12 16:15:22; cltt 3 2025/03/12 08:15:22; binding state active; next binding state free; hardware ethernet 3C:52:82:1A:2B:3C; uid \001\074\122\202\032\053\074; client-hostname ws-a-057; }几个字段值得记住starts和ends是租约起止时间cltt是最后一次交互时间binding state有active/free/backup/abandoned几种。abandoned这个状态要特别留意——dhcpd在分配前会做冲突检测ICMP ping如果ping通了说明这个地址已被占用就把租约标记为abandoned并跳过。abandoned状态默认一小时左右自动释放但如果你的网络里arp欺骗或者设备私配地址比较多abandoned会积累得很快池子会被慢慢啃掉。定期grep abandoned数一下数量是个很实用的健康度指标。日志里要抓的关键词DHCPDISCOVER from、DHCPOFFER on、DHCPREQUEST for、DHCPACK on、DHCPNAK on、abandoning、no free leases。no free leases是池子耗尽的直接信号出现这个就要立刻扩池或者缩短租期。DHCPNAK on大量出现通常是客户端缓存了老网段的地址或者网络里存在另一台选择了不同网段的DHCP服务器。6. 启动、验证与客户端实测6.1 语法检查、网卡绑定与启动排错顺序启动前先做语法检查这一步能省掉90%的启动失败dhcpd -t -cf /etc/dhcp/dhcpd.conf输出里如果有/etc/dhcp/dhcpd.conf line X: ...就是明确了行号如果只报Configuration file errors encountered -- exiting而没给行号往往是因为subnet声明缺失或者网卡不匹配这类错误-t检查不出来得靠启动时的日志。指定监听网卡echo DHCPDARGSeth1 /etc/sysconfig/dhcpd然后启动并立刻看日志不要只看systemctl status的绿点systemctl enable --now dhcpd journalctl -u dhcpd -n 50 --no-pager典型的启动失败就那么几种日志里其实写得很明白只是关键词不熟No subnet declaration for eth1意思是网卡IP不在任何subnet里Not configured to listen on any interfaces是DHCPDARGS指定的网卡名写错了或者网卡没UPCant open lease database是租约文件权限不对通常是之前用root手工改过文件属主Address already in use是67端口被占了ss -ulnp | grep 67查是谁。这些错误我建议都自己手动造一遍看看日志长什么样比背下来强。6.2 抓包看完整的DORA交互配置看着对不代表真能分地址。最直接的验证是在服务端抓包tcpdump -i eth1 -n -vv port 67 or port 68然后在网段里找一台客户端触发一次请求。正常的四步报文长这样DISCOVER客户端广播→ OFFER服务端单播或广播→ REQUEST客户端广播→ ACK服务端回。如果只看到DISCOVER没有OFFER问题在服务端如果有OFFER但客户端没反应问题在下发选项或者客户端。我习惯在客户端侧也抓一次两边对照着看。服务端抓包和客户端抓包的差别能快速定位丢包发生在哪一跳。特别是跨中继的场景服务端看到的源地址是中继的客户端看到的目的地址是广播两边的视角完全不一样单看一边容易误判。还有一个实用技巧用dhcpcd -T eth0或者dhclient -1 -v eth0这类客户端命令做单次请求测试比等真实终端来得快。麒麟服务器上如果装了dhcp-clientdhclient -1 -d eth0可以前台跑把整个交互过程打在终端上看得一清二楚。6.3 租约落地验证与下发选项核对客户端拿到地址之后别急着说成功要核对三件事地址、网关、DNS是否都符合预期。客户端侧用ip addr、ip route、cat /etc/resolv.conf或者resolvectl status取决于系统用的是哪套解析器逐项对。服务端侧进租约文件确认这条记录生成了binding state是active。DNS这块有个常见偏差resolv.conf被NetworkManager或者其他管理工具接管了DHCP下发的DNS压根没写进去。麒麟服务器上要看/etc/NetworkManager/conf.d/下有没有配置dnsnone之类或者/etc/resolv.conf是不是软链到systemd-resolved的stub文件。这个不归DHCP管但表现出来就是“DHCP配了DNS却不生效”容易把排查方向带偏。网关也要验证。客户端ip route里有default via 10.20.30.1才算对。如果下发的网关地址跟实际三层设备不符客户端能拿到地址但上不了网症状是“IP有了、ping不通外网”很多人第一反应是DNS问题实际是网关错了。这种情况回头查配置文件里option routers那行八成是复制粘贴别的网段忘了改。7. 常见问题速查与踩坑记录7.1 服务起不来与起得来但不工作的两类排查线排查DHCP问题先做一次二分服务起没起来。没起来问题在配置文件和系统环境起来了但不工作问题在网络链路和报文交互。这两条线的排查路径完全不同混在一起查最浪费时间。服务起不来按这个顺序走dhcpd -t看语法 →journalctl -u dhcpd看具体报错 → 检查subnet声明是否覆盖了监听网卡的IP → 检查DHCPDARGS的网卡名 → 检查租约文件权限。这五步基本能覆盖九成情况。服务起来了但客户端拿不到地址按这个顺序服务端抓包看有没有收到DISCOVER → 收到了没回OFFER查subnet匹配和池子是否耗尽 → 回了OFFER没收到REQUEST查中间网络是否拦截广播 → 收到REQUEST没回ACK查地址冲突检测和authoritative行为 → 全流程正常但客户端配置没生效查客户端侧的地址管理工具是否接管。这个顺序的价值在于每一步都能明确排除一类原因而不是东一榔头西一棒子。7.2 高频故障对照表与背后成因下面这张表是我这些年攒下来的基本覆盖了日常会遇到的情况现象最可能原因快速验证方法处理方式启动失败提示No subnet declaration网卡IP不在任何subnet内ip addr对照配置文件补subnet声明或改监听网卡启动失败提示Cant open lease database租约文件属主或权限被改ls -l /var/lib/dhcpd/恢复为dhcpd用户可写客户端拿不到地址服务端无日志报文没到服务端或网卡监听错两端同时抓包检查中继、VLAN、DHCPDARGS部分网段正常部分网段不行中继giaddr与subnet声明不匹配抓包看giaddr字段对齐中继接口地址与subnet网段大量DHCPNAK网段内存在第二个DHCP服务抓包看OFFER来源关闭多余DHCP或去掉authoritative池子显示还有地址但分配失败abandoned租约堆积grep -c abandoned租约文件排查私配地址设备等待自动释放客户端频繁重新获取地址租期过短或续约失败抓包看REQUEST频次调长租期检查中间设备是否拦截单播下发了DNS但客户端不生效客户端解析器被其他工具接管resolvectl status调整客户端侧管理工具配置表格之外还有两个不太常见但很折磨人的问题值得单独说。第一个是MTU导致的续约失败DHCP报文本身很小但如果中间走了隧道或者特殊封装某些选项较多的ACK可能超MTU被丢。症状是首次获取正常续约时好时坏。验证方法是看服务端日志里有没有REQUEST但没有对应的ACK记录配合抓包看是否有分片。处理方式是精简下发的选项别一次塞太多自定义option。第二个是时钟偏移导致的租约异常。虚拟机环境里特别常见宿主机暂停恢复之后客户机时间跳变租约的起止时间算出来是负的或者超长。症状是租约文件里出现ends早于starts的记录。这类问题不属于DHCP本身但会实实在在影响地址回收排查时容易被忽略。定期核对NTP状态能避免大部分这类问题。7.3 几条不上台面但很省事的实操习惯第一条改配置前先备份而且备份带时间戳。cp dhcpd.conf dhcpd.conf.$(date %Y%m%d%H%M)看着啰嗦但当你改崩了想回滚、又记不清哪版是对的时候这几秒钟能救命。dhcpd没有配置版本管理全靠自己。第二条用dhcpd -t做语法检查但别只信它。它能查出语法错查不出逻辑错。subnet写对了但网段写错、池子范围超出子网、网关不在子网内这些它都不管。我的习惯是配置写完先人工通读一遍数字尤其掩码和网段这两处粘贴错一位就是灾难。第三条新配置上线先在测试网段灰度。dhcpd支持一台机器服务多个网段你可以先只对测试VLAN开放验证通过再逐个加。直接全网上线一旦池子划小了全网终端轮流掉线那个场面很难看。第四条给租约文件留足磁盘空间并且监控它。租约文件会持续增长虽然dhcpd会定期清理过期记录但高频分配的环境下它涨得比你想象的快。写个简单的监控超过一定大小告警比等磁盘满了服务写不进去再救要主动得多。8. 我在实际部署里攒下的几点体会配置文件的正确性只是及格线真正决定这套服务能不能长期稳定跑的是几件配置之外的事。第一件是地址规划要留白。我现在的习惯是每个网段的池子只用该网段可用地址的60%左右剩下的留给静态设备、临时扩容和故障时的腾挪空间。池子划到90%看着利用率高实际上一旦有设备私配地址导致冲突abandoned一堆积立刻就不够用了而扩池意味着要改配置、要重载、要通知成本远高于当初少划那几十个地址。第二件是把租约数据用起来。很多人装完DHCP就只把它当个发地址的工具其实租约文件是一份现成的终端在线台账。写个脚本定期把active状态的租约导成CSV跟资产系统对一遍能发现不少“登记了但不在线”“在线但没登记”的偏差。这件事不需要多复杂的技术一个grep加awk就够但坚持做下来对内网资产的可控度提升非常明显。第三件是别把DHCP当成孤岛。它跟DNS、跟准入、跟监控都有天然的联动点。下发的DNS服务器地址变了DHCP配置要跟着改新终端入网要做准入DHCP的租约事件是个很好的触发源服务本身的状态要进监控67端口的响应情况、池子余量、abandoned数量这三个指标做成告警基本能提前发现绝大多数问题。这些联动不一定要一次做完但心里得有这张图后面逐步补比事后推倒重来省事得多。最后说个小技巧。排查“某台特定终端拿不到地址”这类问题最快的办法不是看配置文件而是先在服务端按MAC过滤日志journalctl -u dhcpd | grep -i 3c:52:82。如果日志里连这个MAC的DISCOVER都没有说明报文根本没到问题在网络侧如果有DISCOVER没OFFER说明匹配失败问题在配置侧如果有OFFER没REQUEST说明客户端侧或者中间链路有问题。这三行grep一跑方向基本就定了比翻配置文件猜快得多。这套方法我在不同环境里用过很多次屡试不爽你也可以直接拿去用。
