1. 项目概述为什么我们需要DHCP中继在稍微有点规模的网络里比如一个公司有好几栋楼或者一个校园网你经常会遇到一个头疼的问题网络设备电脑、IP电话、摄像头分散在不同的地方但负责分配IP地址的DHCP服务器却只有一台而且通常放在数据中心的核心机房。这时候如果一台远在另一栋楼的电脑开机喊“我需要一个IP地址”它的广播请求根本传不到核心机房的DHCP服务器那里因为路由器默认会阻断这种广播包在不同网段间传播。结果就是那台电脑永远拿不到IP上不了网。DHCP中继DHCP Relay就是解决这个“跨网段要地址”问题的关键角色。你可以把它想象成一个非常负责的“传话员”或者“快递中转站”。它部署在需要帮助客户端转发DHCP请求的网络设备通常是三层交换机或路由器上监听客户端的广播请求然后以单播的形式精准地转发给指定的、位于另一个网段的DHCP服务器。服务器处理完再把回复单播给中继代理中继代理再转发回客户端。这样一来无论客户端和服务器相隔多少个网段IP地址的分配都能顺利完成。我处理过很多次因为中继没配好导致的“部分区域网络瘫痪”故障。新员工入职工位在新建的办公区电脑插上网线就是获取不到IP而老办公区的人却用得好好的。一查往往就是连接新办公区的那个汇聚交换机上忘记开启或者配错了DHCP中继功能。所以搞懂并熟练配置DHCP中继是网络工程师从“会配单点”到“能规划整网”必须跨越的一道坎。接下来我就结合华为、锐捷等主流厂商的设备把中继的原理、配置命令、以及那些容易踩坑的细节给你掰开揉碎了讲清楚。2. DHCP中继的核心原理与工作流程拆解要配好中继不能只死记命令得先明白它到底是怎么干活的。我们抛开枯燥的RFC文档用一个现实场景来类比。假设你在一家大型超市代表一个网络里。超市的生鲜区、百货区、收银台是不同的部门代表不同的VLAN或IP网段。超市的广播系统代表二层广播域只能在每个部门内部喊话。现在生鲜区VLAN 10的一位员工DHCP客户端需要找人力资源部DHCP服务器在VLAN 100领取工牌IP地址。他只能在生鲜区内部大喊“HR在哪我要领工牌”DHCP Discover广播。这个声音传不到百货区更传不到独立的HR办公室。这时生鲜区的部门经理DHCP中继代理部署在连接VLAN 10的三层接口或VLANIF接口上听到了喊话。他手里有一张全超市的通讯录明确知道HR办公室的固定位置DHCP服务器的IP地址。于是他拿起电话将广播包转换为单播包直接打给HR“你好生鲜区有位新员工要办工牌这是他的信息。” 这个电话呼叫是通过超市内部的专用电话线路IP路由送达的不受部门区域限制。HR接到电话准备好工牌和入职材料IP地址、子网掩码、网关、DNS等DHCP Offer回拨电话给生鲜区经理“材料好了你来取一下。” 经理拿到材料再转交给那位等待的员工。后续的确认DHCP Request和最终发放DHCP ACK流程也类似都由经理在中转。这个过程揭示了中继工作的几个核心技术点监听与拦截中继代理必须启用在与客户端同一广播域的网络接口上。对于三层交换机这个接口通常是SVI接口VLANIF接口或者配置了ip helper-address命令的三层物理/聚合接口。它会监听目的IP为255.255.255.255受限广播或目的MAC为ffff.ffff.ffff广播的DHCP报文端口67/68。修改与转发这是中继的核心动作。当收到客户端的DHCP Discover或Request广播包时中继代理会做两件关键事修改GIADDR字段将DHCP报文中的“网关IP地址”Gateway IP Address GIADDR字段修改为中继代理接收这个广播包的那个接口的IP地址。这个地址至关重要它告诉了DHCP服务器“客户端来自哪个网段”。服务器正是依据这个GIADDR来判断应该从哪个地址池IP Pool里分配IP。改变发送方式将报文的目的IP地址从255.255.255.255改为事先配置好的一个或多个DHCP服务器地址并以单播Unicast方式发送出去。这样报文就能通过路由网络到达服务器。中继与服务器的交互服务器看到GIADDR字段就知道该从哪个子网的地址池中选取IP然后以单播形式回复给GIADDR地址即中继代理的接口IP。中继代理收到回复后再根据报文中的客户端MAC地址等信息将回复转发给客户端所在的二层网络。注意这里有一个非常关键的细节。DHCP服务器回复给中继代理的报文其目的IP就是GIADDR中继接口IP而不是客户端的IP因为此时客户端还没有IP。这意味着DHCP服务器所在网段的路由表里必须有能够到达GIADDR所在网段的路由。否则服务器无法将回复报文送回给中继代理。这是实际部署中最常见的连通性问题。理解了这套流程配置命令就不再是魔法咒语而是每一步逻辑的体现。3. 主流网络设备DHCP中继配置命令详解不同厂商的设备配置命令各有特色但核心思想一致在客户端所在网段的网关接口上指定DHCP服务器的地址。下面我们以华为Huawei和锐捷Ruijie的交换机为例这是国内企业网最常见的两大品牌。3.1 华为交换机DHCP中继配置华为设备的配置逻辑清晰主要分为服务器端和中继端。我们假设一个典型场景DHCP服务器IP是192.168.100.10客户端属于VLAN 20网关地址是192.168.20.1/24。第一步确保IP路由基础连通性在配置中继前必须确保中继设备交换机能ping通DHCP服务器。这需要正确的VLAN划分、接口IP配置和路由静态或动态。这是所有后续工作的基石却最容易被忽略。第二步配置DHCP服务器地址全局或接口华为提供了两种方式我推荐使用接口模式因为更直观与网关联动性强。system-view sysname L3-Switch vlan batch 20 100 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 dhcp select relay # 关键命令将该接口设置为DHCP中继模式 dhcp relay server-ip 192.168.100.10 # 指定DHCP服务器地址dhcp select relay这条命令是开关告诉设备这个接口下的DHCP请求需要中继功能来处理。dhcp relay server-ip这条命令是方向告诉中继把请求转发到哪里去。你可以添加多个server-ip命令来实现DHCP服务器冗余。第三步可选但重要配置中继的安全与可靠性功能interface Vlanif20 dhcp relay gateway-switch enable # 启用网关切换功能针对某些特殊场景 dhcp relay check giaddr enable # 启用GIADDR检查增强安全性网关切换在某些复杂中继场景如双机热备当主用网关失效时能切换到备用网关继续中继。GIADDR检查当中继代理收到DHCP报文时会检查其GIADDR字段是否为0或非本接口地址。如果不是则丢弃。这可以防止一些错误配置或恶意报文。第四步将接入端口划入VLANinterface GigabitEthernet0/0/1 port link-type access port default vlan 20华为配置要点与避坑指南dhcp enable全局命令在较新的VRP版本中可能需要在系统视图下先执行dhcp enable来全局启用DHCP服务包括中继但在我实测的V200R019及以后版本配置接口dhcp select relay时会自动提示启用按提示操作即可。多服务器配置如果需要指定多个DHCP服务器实现负载分担或冗余只需在接口下多次执行dhcp relay server-ip x.x.x.x即可。中继会按顺序或算法向服务器转发请求。与M-LAG、堆叠的配合在华为M-LAG跨设备链路聚合组或堆叠环境下配置中继的VLANIF接口需要特别注意。确保中继配置在逻辑设备堆叠主或M-LAG两端的VLANIF接口上并且该VLANIF接口的IP地址要配置为虚拟IP通常就是网关地址保证无论流量从哪台物理设备进入中继逻辑一致。这是高可用网络中的常见难点。3.2 锐捷交换机DHCP中继配置锐捷的配置命令与思科风格类似使用经典的ip helper-address命令我个人觉得更简洁直接。沿用上述场景。第一步创建VLAN并配置SVI接口网关configure terminal hostname L3-Switch vlan 20 exit interface Vlan 20 ip address 192.168.20.1 255.255.255.0 no shutdown第二步在SVI接口下配置中继命令interface Vlan 20 ip helper-address 192.168.100.10是的核心就是这一条命令ip helper-address。它完成了监听、修改GIADDR、单播转发的所有逻辑。第三步配置接入端口interface GigabitEthernet 0/1 switchport mode access switchport access vlan 20锐捷配置要点与避坑指南全局IP路由锐捷设备默认可能未开启IP路由功能。如果VLAN 20和服务器所在的VLAN 100需要跨网段通信必须在全局配置模式下输入ip routing来启用三层路由功能否则中继单播包发不出去。ip forward-protocolip helper-address不仅转发DHCP端口67/68默认还会转发其他几种UDP广播协议如Time TACACS等。如果只想转发DHCP可以在全局下使用ip forward-protocol udp命令进行精细控制但在纯DHCP中继场景下通常不需要改动。多服务器与源接口可以配置多个ip helper-address。锐捷中继发出的报文源IP地址是出接口的IP。务必确保这个出接口的IP路由可达服务器。在有多条路径时可能需要配置路由或策略来固定路径。3.3 配置命令的共通本质与验证无论命令形式如何变化其本质都是在客户端网段的网关接口上设置一个指向DHCP服务器的“下一跳”。配置完成后验证是必不可少的环节。从中继设备Ping服务器ping 192.168.100.10确保三层可达。查看中继配置华为display dhcp relay interface Vlanif20或display current-configuration interface Vlanif20锐捷show running-config interface Vlan 20抓包分析终极验证在客户端连接的中继设备接口上或通过端口镜像抓包。你应该能看到客户端发出DHCP Discover广播。中继设备发出DHCP Discover单播目的IP是服务器GIADDR被修改。服务器回复DHCP Offer单播目的IP是GIADDR。中继将Offer广播或单播给客户端。 这是理解整个流程最直观的方式。4. 高级应用与典型故障排查实录掌握了基础配置我们来看看更复杂的场景和那些让人头疼的故障。4.1 复杂网络场景下的中继部署场景一多个DHCP服务器池与中继大型网络中可能为不同部门VLAN配置了不同的DHCP地址池但它们都挂在同一台或几台DHCP服务器上。这时中继的GIADDR字段就是服务器区分地址池的唯一依据。你必须确保每个客户端VLAN的网关接口即中继点的IP地址与DHCP服务器上配置的对应地址池的网络号匹配。例如VLAN 20的网关是192.168.20.1/24那么服务器上就必须有一个作用域Scope或地址池Pool的网络是192.168.20.0/24。配置错误会导致服务器从错误的池中分配IP造成IP冲突或无法通信。场景二DHCP服务器与中继不在同一网段这是最普遍的情况。除了配置helper-address最关键的是路由。需要从中继设备到服务器以及从服务器返回中继设备双向路由都必须通。特别是回程路由服务器需要将回复包发给GIADDR中继接口IP所以服务器或其网关的路由表中必须有指向GIADDR所在网段的路由。我常用tracert命令在服务器上追踪GIADDR地址来验证回程路径。场景三中继链路上的ACL或防火墙如果在中继设备和DHCP服务器之间的路径上存在ACL访问控制列表或防火墙必须放行以下流量源中继设备接口IP目的DHCP服务器IP协议UDP目的端口67服务器端源端口67客户端到服务器目的端口68客户端端源端口68服务器到客户端。有些防火墙需要同时放行双向的UDP 67和68端口。最稳妥的方式是在防火墙上开启对DHCP应用协议的识别或直接放行相关IP的任意端口在安全策略允许的情况下。4.2 常见故障排查技巧与命令故障现象客户端获取不到IP地址或获取到的IP参数不正确如网关、DNS错误。排查思路一检查客户端与中继的链路第一公里物理链路网线、光模块、端口指示灯状态。二层连通客户端是否在正确的VLANdisplay vlan华为或show vlan锐捷确认。端口模式Access/Trunk是否正确中继功能启用在网关接口上display this华为或show running-config interface锐捷确认中继命令已配置且无误。排查思路二检查中继与服务器的路径中间路程从中继Ping服务器ping -a 192.168.20.1 192.168.100.10华为-a指定源IP。务必用中继接口的IP作为源去Ping这模拟了中继转发报文的行为。检查路由表display ip routing-table 192.168.100.10华为或show ip route 192.168.100.10锐捷查看是否有可达路由。服务器回程路由登录DHCP服务器或其网关检查是否有到192.168.20.0/24网段的路由。这是最容易被遗忘的点排查思路三检查服务器与地址池最终目的地服务器状态DHCP服务是否运行地址池是否已激活作用域是否有可用地址地址池匹配确认服务器上配置的地址池网络号是否与GIADDR192.168.20.0/24匹配。服务器日志查看DHCP服务器的审核或事件日志看是否收到了Discover请求以及处理过程中是否有错误如地址池满、冲突等。排查思路四抓包分析终极武器在中继设备的客户端侧接口和连接服务器的接口分别抓包对照看报文是否被正确转发和修改。重点关注Discover报文从中继发出时是否从广播变单播GIADDR字段是否被正确修改为中继接口IPOffer报文服务器是否回复回复包的目的IP是否是GIADDR 通过抓包可以清晰地将问题定位在“客户端-中继”、“中继-服务器”、“服务器处理”这三个环节中的某一个。4.3 一个真实排障案例获取到IP但无法上网我曾遇到一个案例用户电脑能获取到192.168.30.100/24的IP网关是192.168.30.1但就是上不了网。Ping网关都不通。初步排查电脑IP、掩码、网关配置正确。在网关设备三层交换机上Ping电脑也不通。深入分析检查交换机MAC地址表发现电脑MAC对应的端口是正确的。但检查ARP表项时发现没有电脑IP192.168.30.100的ARP条目。关键线索这意味着交换机作为网关根本没收到电脑发出的ARP请求或者收到了但没处理。联想到DHCP中继我立刻检查了DHCP Offer/ACK报文中的“路由器选项”Option 3即网关地址。结果发现DHCP服务器上配置的地址池其网关选项错误地写成了另一台设备的地址192.168.30.254。根因与解决电脑以为网关是.254所以发往非本网段的流量包括ARP请求都试图发给.254而.254这台设备可能不存在或未配置导致网络中断。修正DHCP服务器地址池中的网关选项为正确的192.168.30.1后问题解决。经验教训DHCP中继只负责“传递”请求和回复不修改服务器回复的内容。服务器下发的所有选项Option尤其是网关Option 3、DNSOption 6都必须配置正确。中继配置正确只解决了“能不能拿到地址”的问题“拿到地址后能不能用”很大程度上取决于服务器端的配置。
