1. 为什么需要DHCP中继在企业网络中我们经常会遇到多个VLAN的场景。想象一下一栋办公楼里财务部、技术部和市场部分别使用不同的VLAN就像不同楼层需要不同的电梯一样。这时候如果每个VLAN都单独部署一台DHCP服务器不仅成本高管理起来也特别麻烦。我遇到过最头疼的情况是公司新来了50个员工IT部门需要在三台DHCP服务器上分别修改配置。结果因为操作不同步导致部分员工获取到了错误的IP地址。这就是典型的广播域隔离问题——DHCP请求是广播包默认只能在同一个VLAN内传递。DHCP中继就像个聪明的邮递员它能跨VLAN传递DHCP请求。具体来说当VLAN2的电脑发出DHCP请求时三层交换机会把这个广播包转换成单播包直接发给指定的DHCP服务器。我在实际部署中发现这个功能不仅能节省服务器资源还能实现IP地址的统一管理。2. 实验环境搭建要点2.1 网络拓扑设计我们先来看一个典型的企业网络架构VLAN220.1.1.0/24财务部VLAN330.1.1.0/24技术部VLAN8888.1.1.0/24服务器专用这里有个容易踩坑的地方很多新手会忘记给DHCP服务器单独划分VLAN。我建议像VLAN88这样专门划出一个服务器区既安全又方便管理。曾经有客户把DHCP服务器放在用户VLAN里结果被ARP攻击搞得全网瘫痪。2.2 设备选型建议根据我的经验思科Catalyst 3560系列是最适合做DHCP中继的三层交换机。它支持完整的ip helper-address功能而且性能稳定。有个小技巧如果预算有限2950系列二层交换机接3560的架构也能满足中小企业的需求。3. 详细配置步骤3.1 基础VLAN配置先配置二层交换机switch-S260(config)#vlan 2 switch-S260(config-vlan)#vlan 3 switch-S260(config)#int f0/1 switch-S260(config-if)#switchport mode access switch-S260(config-if)#switchport access vlan 2 switch-S260(config-if)#int f0/2 switch-S260(config-if)#switchport access vlan 3 switch-S260(config-if)#int f0/3 switch-S260(config-if)#switchport mode trunk这里有个细节要注意F0/3端口连接三层交换机必须配置为trunk模式。我见过有人误配成access模式导致整个网络不通。建议配置完成后用show interface trunk命令确认。3.2 三层交换机配置关键配置步骤如下switch-S3560(config)#vlan 88 switch-S3560(config)#int vlan 2 switch-S3560(config-if)#ip address 20.1.1.254 255.255.255.0 switch-S3560(config-if)#int vlan 3 switch-S3560(config-if)#ip address 30.1.1.254 255.255.255.0 switch-S3560(config-if)#int vlan 88 switch-S3560(config-if)#ip address 88.1.1.254 255.255.255.0特别注意SVI接口的IP地址就是对应VLAN的网关地址。有次客户反映网络时断时续最后发现是VLAN接口IP配错了子网掩码。4. DHCP中继核心配置4.1 启用路由功能这是最容易被忽略的一步switch-S3560(config)#ip routing没有开启路由功能DHCP中继根本无法工作。建议配置后立即用show ip route检查路由表。4.2 配置helper-address关键命令其实很简单switch-S3560(config)#int vlan 2 switch-S3560(config-if)#ip helper-address 88.1.1.253 switch-S3560(config-if)#int vlan 3 switch-S3560(config-if)#ip helper-address 88.1.1.253这里的88.1.1.253就是DHCP服务器的IP。我建议至少配置两个helper-address做冗余比如ip helper-address 88.1.1.253 ip helper-address 88.1.1.2525. 常见问题排查5.1 地址获取失败如果客户端获取不到IP建议按这个顺序检查用show interface vlan 2确认SVI状态是up/up用ping 88.1.1.253测试到DHCP服务器的连通性用debug ip dhcp server packet查看DHCP报文交互曾经有个案例防火墙拦截了UDP 67/68端口导致DHCP完全失效。5.2 地址分配错误如果VLAN2的客户端拿到了VLAN3的地址通常是helper-address配置在了错误的接口上。可以用show run | include helper快速检查配置。6. 性能优化技巧6.1 调整DHCP租期默认24小时的租期对办公网络可能太长ip dhcp pool VLAN2 lease 0 8 # 设置为8小时对于会议室等临时网络可以设为更短时间。6.2 启用端口快速转发避免STP阻塞导致DHCP超时interface range f0/1-24 spanning-tree portfast这个配置能减少约30秒的等待时间对用户体验提升很明显。7. 与不同服务器对接7.1 Windows Server配置在Windows DHCP服务器上需要创建作用域时确保网络ID匹配如20.1.1.0/24配置正确的网关和DNS选项激活作用域7.2 Linux DHCP配置以isc-dhcp-server为例subnet 20.1.1.0 netmask 255.255.255.0 { range 20.1.1.100 20.1.1.200; option routers 20.1.1.254; option domain-name-servers 88.1.1.253; }记得修改/etc/default/isc-dhcp-server文件指定监听接口。8. 安全加固建议8.1 DHCP Snooping防止私接DHCP服务器ip dhcp snooping ip dhcp snooping vlan 2,3 interface gig0/1 ip dhcp snooping trust8.2 地址绑定对重要设备做静态分配ip dhcp pool VIP host 20.1.1.100 255.255.255.0 client-identifier 0100.0abc.1234.56 client-name CEO-PC我在金融行业客户那里实施时这项配置是合规检查的必选项。