1. 从一个真实场景说起：为什么需要DHCP中继
很多刚接触网络运维的朋友都会遇到这样一个场景：公司规模扩大了，办公区从一层楼变成了三层楼，原本一个C类地址段够用，现在需要划分多个VLAN来隔离广播域。这时候问题来了——如果每个VLAN都单独部署一台DHCP服务器，成本高、管理麻烦；如果只在一台服务器上配置多个作用域，又面临一个致命问题：DHCP的广播报文无法跨越三层网络边界。
这就是DHCP中继（DHCP Relay）要解决的核心问题。简单来说，DHCP客户端在获取IP地址时，第一步是发送DHCP Discover广播包。广播包的特性是只能在同一广播域内传播，路由器（三层设备）默认会隔离广播域。所以，如果DHCP服务器和客户端不在同一个网段，客户端的请求根本到不了服务器。
DHCP中继的作用就是在网关设备上“接力”这些广播报文，把它们转换成单播报文，转发给指定的DHCP服务器，再把服务器的回应转发回客户端。整个过程对客户端完全透明，客户端以为自己是在跟本地DHCP服务器通信。
这套方案适合谁参考？三类人最需要：一是中小企业的网络管理员，需要在一台服务器上为多个VLAN提供地址分配；二是准备网络工程师认证考试的朋友，DHCP中继是必考知识点；三是刚入行的运维人员，理解中继原理是排查IP分配故障的基础。
我见过太多人配置DHCP中继时踩坑——中继地址写错、接口没开中继功能、服务器路由不回指、防火墙拦截了UDP 67/68端口。下面我把这套东西从头到尾拆一遍，包括原理、配置、排查，尽量让不同基础的人都能看懂。
2. DHCP协议核心机制快速梳理
2.1 DHCP的四种报文和交互流程
在讲中继之前，必须先把DHCP本身的交互逻辑搞清楚，否则后面理解中继的行为会很吃力。DHCP客户端获取地址的过程通常叫DORA，四个步骤对应四种报文：
- Discover（发现）：客户端广播发送，目的是找到网络中可用的DHCP服务器。源IP是0.0.0.0，目的IP是255.255.255.255，源端口UDP 68，目的端口UDP 67。
- Offer（提供）：服务器收到Discover后，从地址池中选一个可用IP，通过单播或广播回复客户端，包含IP地址、租期、网关、DNS等信息。
- Request（请求）：客户端收到Offer后，广播发送Request，正式请求使用这个IP。为什么是广播？因为客户端要同时告知所有DHCP服务器它选了哪一台，其他服务器可以释放自己预分配的地址。
- Ack（确认）：被选中的服务器发送Ack确认，客户端正式使用该IP。如果服务器无法分配，会发送Nak拒绝。
这里有个关键细节：Discover和Request都是广播，Offer和Ack通常是单播（也可以广播，取决于客户端是否设置了广播标志位）。中继要处理的就是这些广播报文。
2.2 租期与续租机制
DHCP分配的IP不是永久的，有租期概念。默认租期通常是24小时或8天，取决于设备厂商。客户端在租期过半（T1，50%）时会尝试单播续租，如果失败，在租期87.5%（T2）时会广播续租。如果租期到期还没续上，客户端必须释放IP重新走DORA流程。
这个机制对中继配置有影响：如果中继链路不稳定，客户端续租失败后重新广播Discover，中继必须能正常转发，否则客户端会掉线。我在实际项目中遇到过中继接口震荡导致大面积客户端重新获取IP的情况，后面会细说。
2.3 DHCP中继的报文转发原理
中继设备（通常是三层交换机或路由器）收到客户端广播的DHCP报文后，做以下几件事：
- 检查收到报文的接口是否开启了DHCP中继功能。
- 将广播报文转换为单播报文，目的IP改为配置的DHCP服务器地址。
- 在报文中插入**giaddr（Gateway IP Address）**字段，填入接收接口的IP地址。这个字段极其关键，服务器靠它来判断客户端属于哪个网段，从而分配对应地址池的IP。
- 将报文转发给DHCP服务器。
- 服务器回复时，目的IP是giaddr，中继收到后根据giaddr和客户端MAC地址，把回复转发回对应接口。
注意：giaddr是中继的灵魂。如果giaddr填错或者为0.0.0.0，服务器不知道客户端在哪个网段，会直接丢弃请求或分配错误网段的地址。
理解了这一点，后面配置时你就知道为什么要指定中继接口的IP，以及为什么服务器上要配置回程路由。
3. 典型组网场景与方案选型
3.1 单中继单服务器场景
这是最简单的场景：一台三层交换机作为网关，下挂多个VLAN，上联一台DHCP服务器。交换机上每个VLAN接口都配置DHCP中继指向服务器。
这种场景适合小型网络，配置简单，但存在单点故障——服务器挂了，所有VLAN都拿不到IP。实际项目中我会建议至少做服务器冗余，或者在中继上配置多个服务器地址。
3.2 多中继级联场景
大型网络中，DHCP服务器可能集中在数据中心，而客户端分布在多栋楼。每栋楼的汇聚交换机做一次中继，核心交换机再做一次中继，最终到达服务器。这就是多级中继。
多级中继有个坑：giaddr只会被第一跳中继设置。后续中继收到报文时，giaddr已经有值了，不会再修改。所以服务器看到的giaddr是第一跳中继接口的IP，服务器必须能路由到那个网段。如果中间有防火墙，必须放行服务器到giaddr网段的路由。
3.3 中继与DHCP Snooping的配合
在企业网络中，为了防止私接DHCP服务器，通常会在接入交换机上开启DHCP Snooping。Snooping会把用户端口设为非信任端口，只允许DHCP回复报文从信任端口（上联口）进入。
这里有个容易忽略的点：如果中继设备本身也是Snooping的信任端口，配置要一致。我见过一个案例，接入交换机开了Snooping，上联口设为信任，但汇聚交换机的中继接口没做相应配置，导致DHCP回复被丢弃。排查了半天才发现是Snooping信任端口没设对。
3.4 方案选型对比
| 方案 | 适用规模 | 优点 | 缺点 |
|---|---|---|---|
| 每VLAN独立DHCP服务器 | 极小网络 | 简单直接 | 成本高、管理分散 |
| 单台中继+单服务器 | 中小网络 | 配置简单、集中管理 | 单点故障 |
| 多级中继+服务器冗余 | 大型网络 | 高可用、扩展性强 | 配置复杂、排查难度大 |
| 中继+Snooping | 安全要求高 | 防止私接DHCP | 配置不当易断网 |
选型时我的建议是：50个VLAN以内，单级中继足够；超过50个或者跨园区，考虑多级中继；安全要求高的场景，Snooping必须上，但一定要先在测试环境验证。
4. 华为设备DHCP中继配置实操
4.1 基础配置步骤
以华为三层交换机为例，假设拓扑是：交换机VLANIF 10（192.168.10.1/24）作为网关，DHCP服务器在192.168.100.10。
第一步，全局开启DHCP服务：
[Huawei] dhcp enable第二步，配置VLANIF接口IP并开启中继：
[Huawei] interface Vlanif 10 [Huawei-Vlanif10] ip address 192.168.10.1 24 [Huawei-Vlanif10] dhcp select relay [Huawei-Vlanif10] dhcp relay server-ip 192.168.100.10这三条命令缺一不可。dhcp select relay是告诉接口用中继模式，dhcp relay server-ip指定服务器地址。可以配多个服务器IP做冗余。
第三步，配置到DHCP服务器的路由：
[Huawei] ip route-static 192.168.100.0 24 192.168.1.1如果服务器和交换机直连，这一步可以省略。但跨网段时必须配。
4.2 服务器端配置要点
服务器端（以Linux的ISC DHCP Server为例）需要配置对应网段的subnet：
subnet 192.168.10.0 netmask 255.255.255.0 { range 192.168.10.100 192.168.10.200; option routers 192.168.10.1; option domain-name-servers 114.114.114.114; }关键点：服务器必须有回程路由到192.168.10.0/24，下一跳指向中继设备的互联接口IP。否则服务器收到请求后，回复报文找不到路，客户端拿不到IP。
4.3 验证与调试命令
配置完成后，用以下命令验证：
[Huawei] display dhcp relay all [Huawei] display dhcp relay statisticsdisplay dhcp relay all可以看到哪些接口开了中继、指向哪些服务器。statistics能看到收发了多少报文，如果发现只有收没有发，说明服务器没回或者回程路由有问题。
在客户端侧，Windows用ipconfig /release然后ipconfig /renew，Linux用dhclient -r然后dhclient。如果拿不到IP，先在交换机上抓包：
[Huawei] terminal monitor [Huawei] terminal debugging [Huawei] debugging dhcp relay all这个调试命令会打印中继处理的每个报文，非常直观。但生产环境慎用，日志量很大。
5. 思科设备DHCP中继配置实操
5.1 基础配置步骤
思科的配置逻辑类似，命令不同。假设三层交换机VLAN 10接口IP是192.168.10.1/24，DHCP服务器是192.168.100.10。
第一步，全局开启DHCP服务（思科默认可能已开启）：
Switch(config)# service dhcp第二步，配置VLAN接口并指定中继地址：
Switch(config)# interface vlan 10 Switch(config-if)# ip address 192.168.10.1 255.255.255.0 Switch(config-if)# ip helper-address 192.168.100.10思科用的是ip helper-address，不是dhcp relay server-ip。这个命令不仅转发DHCP，默认还会转发其他UDP广播（如TFTP、DNS等）。如果只想转发DHCP，需要配合no ip forward-protocol udp来关闭其他协议。
第三步，配置路由：
Switch(config)# ip route 192.168.100.0 255.255.255.0 192.168.1.15.2 思科中继的注意事项
思科的ip helper-address有个特性：它会把收到的广播报文转成单播发给helper地址，同时把源IP改为接收接口的IP。这个行为和华为的giaddr机制类似，但实现细节不同。
注意：思科设备上如果接口配置了
ip helper-address，默认会转发UDP 69（TFTP）、UDP 53（DNS）、UDP 67/68（DHCP）等。如果网络中有其他UDP广播服务，可能会被意外转发，造成广播风暴。建议明确指定只转发DHCP。
另外，思科的DHCP中继在收到服务器回复时，会根据报文中的giaddr字段查找对应的接口，然后转发给客户端。如果giaddr对应的接口down了，回复会被丢弃。
5.3 华为与思科配置对比
| 配置项 | 华为 | 思科 |
|---|---|---|
| 开启DHCP | dhcp enable | service dhcp |
| 接口中继模式 | dhcp select relay | 无需单独开启 |
| 指定服务器 | dhcp relay server-ip | ip helper-address |
| 查看中继状态 | display dhcp relay all | show ip dhcp relay |
| 调试命令 | debugging dhcp relay all | debug ip dhcp server packet |
两家设备的配置逻辑相通，但命令差异大。如果你同时维护多厂商设备，建议做一份配置对照表，避免记混。
6. 常见故障排查与避坑指南
6.1 客户端拿不到IP的排查思路
这是最常见的故障。排查顺序应该是：客户端→中继→服务器→回程。
先在客户端确认是否发了Discover。Windows用Wireshark抓包，看到发往255.255.255.255的DHCP Discover就说明客户端正常。
然后在中继设备上看统计：
[Huawei] display dhcp relay statistics如果Discover计数为0，说明中继没收到客户端的广播。检查接口是否真的开了中继，VLAN是否放通，客户端是否在正确的VLAN。
如果Discover有计数但Offer为0，说明中继转发了请求但没收到服务器回复。检查服务器是否收到请求、服务器地址池是否配置正确、回程路由是否可达。
如果Offer有计数但客户端没拿到，检查中继到客户端的链路是否正常，中间是否有Snooping拦截。
6.2 giaddr为0导致的分配失败
这个坑我踩过。某次配置中继后，客户端一直拿不到IP，抓包发现服务器收到了请求，但回复的是Nak。查了半天发现是中继接口的IP没配，giaddr填的是0.0.0.0，服务器不知道客户端在哪个网段，直接拒绝。
提示：配置中继前，务必确认接收接口有正确的IP地址。如果接口是二层口，必须先配SVI或者用
dhcp relay gateway指定giaddr。
6.3 服务器回程路由缺失
服务器能收到请求，也能发回复，但回复到不了中继。这种情况通常是服务器没有到客户端网段的路由。服务器的默认网关指向了错误的方向，或者没有配置静态路由。
排查方法：在服务器上用traceroute（Linux）或tracert（Windows）测试到客户端网段的连通性。如果不通，补路由。
6.4 Snooping信任端口配置错误
开了DHCP Snooping后，如果上联口没设为信任，服务器的回复会被丢弃。这个问题的隐蔽性在于：中继统计显示Offer有计数，但客户端就是拿不到。因为中继已经收到了回复，但转发给客户端时被Snooping拦截了。
解决方法：在接入交换机上，把连接中继设备的上联口设为信任：
[Huawei] interface GigabitEthernet 0/0/1 [Huawei-GigabitEthernet0/0/1] dhcp snooping trusted6.5 常见问题速查表
| 现象 | 可能原因 | 排查方法 |
|---|---|---|
| 客户端无IP | 中继未开启 | display dhcp relay all |
| 服务器收到请求但Nak | giaddr为0 | 检查中继接口IP |
| 中继有Offer但客户端无IP | Snooping拦截 | 检查信任端口 |
| 部分VLAN正常部分异常 | 服务器地址池缺失 | 检查subnet配置 |
| 间歇性断网 | 中继链路震荡 | 检查接口日志 |
| 服务器无回复 | 回程路由缺失 | traceroute测试 |
7. 进阶话题：高可用与安全加固
7.1 中继冗余方案
单台中继设备故障会导致整个网络DHCP瘫痪。解决方案有两种：一是用VRRP做网关冗余，中继配置在VRRP主备设备上同步；二是配置多个DHCP服务器地址，中继会依次尝试。
华为设备支持配置多个dhcp relay server-ip，默认按顺序尝试，第一个不通就试第二个。但要注意：如果第一个服务器响应慢，客户端等待时间会变长。建议配合dhcp relay server-select命令调整策略。
7.2 DHCP Snooping深度配置
除了信任端口，Snooping还支持绑定表功能。开启dhcp snooping binding后，交换机会记录客户端MAC、IP、VLAN、接口的对应关系，后续可以配合IP Source Guard防止IP欺骗。
配置示例：
[Huawei] dhcp snooping enable [Huawei] dhcp snooping binding enable [Huawei] interface GigabitEthernet 0/0/1 [Huawei-GigabitEthernet0/0/1] dhcp snooping trusted注意：绑定表默认存在内存中，设备重启会丢失。生产环境建议配置
dhcp snooping binding database把绑定表保存到Flash或TFTP服务器。
7.3 中继链路加密
DHCP报文本身不加密，如果中继和服务器跨公网，建议用IPsec保护。但大多数企业内网不需要，这里不展开。如果确实需要，可以在中继和服务器之间建IPsec隧道，把UDP 67/68的流量加密传输。
7.4 监控与告警
中继设备的DHCP统计信息要纳入监控。建议监控以下指标：
- 中继收发的Discover/Offer/Request/Ack计数
- 中继接口的UP/DOWN状态
- DHCP服务器的地址池使用率
- 客户端获取IP的成功率
华为设备可以通过SNMP读取dhcp relay statistics的OID，配合Zabbix或Prometheus做告警。当Offer计数持续为0时，说明服务器或回程有问题，及时告警。
7.5 实操心得
最后分享几个我在实际项目中总结的经验：
第一，配置前先画拓扑图，标清楚每个网段、每个接口IP、服务器地址。中继配置涉及多个设备，没有拓扑图很容易搞混。
第二，先在测试环境验证。中继配置看起来简单，但涉及广播、单播转换、giaddr、回程路由多个环节，任何一个环节出错都会导致失败。测试环境跑通了再上生产。
第三，保留调试日志。配置完成后，用debugging命令抓一次完整的DORA流程，确认每个报文都正常。把日志保存下来，后续出问题可以对比。
第四，服务器地址池留余量。地址池使用率超过80%就要扩容，否则新客户端拿不到IP。中继本身不解决地址池不足的问题。
第五，文档化。把每个VLAN的中继配置、服务器地址、地址池范围、回程路由都记录下来。人员变动时，这些文档能救命。
这套DHCP中继的方案，从原理到配置到排查，基本覆盖了日常运维的绝大部分场景。实际环境中可能还会遇到厂商私有实现、特殊报文处理等细节，但核心逻辑不变：中继负责转发广播、填充giaddr、服务器根据giaddr分配地址、回程路由保证回复可达。把这四点抓住，大部分问题都能定位。
