Windows独立DHCP Server V2.3：安装、作用域配置与排障

简介：DHCP Server for Windows V2.3 是面向 Windows 平台小型网络与实验环境的轻量级 DHCP 服务工具包，适合需要快速搭建 IP 地址自动分配、远程启动等基础网络服务的运维人员、教师与学生使用。除 DHCP 核心功能外，描述中提及还支持 TFTP、DNS 与 HTTP 协议，可用于简化网络安装与调试流程。压缩包共 9 个文件，约 101KB，包含 exe 可执行程序（服务端与配置向导）、xsl 样式表、html 页面、jpg 配图、txt 说明及 ico 图标，兼顾部署程序、配置入口与文档说明。已有 392 人学习，说明其在相关学习与实验场景中具备一定参考价值。读者可借助内置配置向导完成参数设置，结合说明文档理解服务运行方式，并参考 Web 页面与样式模板了解管理界面组织，适合作为小型网络服务搭建和 DHCP 原理验证的入门材料。

1. 一次地址冲突的下午：为什么值得在 Windows 上单独装一台 DHCP

DHCP Server for Windows V2.3 的安装，难的地方从来不在装本身。那次在某个测试网段，路由器自带的 DHCP 只能改个地址池起止，没有保留地址、看不到租约、也没法按 MAC 绑定，结果两台测控设备手配了固定 IP，正好落在池子里，一开机就撞车，整条测试链路断了半个下午。后来决定在网内一台常开的 Windows 机器上单独跑一个 DHCP 服务，把池子、保留地址、租约时间全部显式写进配置文件，谁拿过什么地址一眼能查。这套方案适合小型办公网、实验室测试台、离线机房这类“网不大但要求不少”的场景：设备数量在几十台量级，需要固定几台仪器的地址，又不想为此上一台 Windows Server。装不好会怎样？轻则客户端拿不到地址，重则网上冒出两个 DHCP 抢着应答，地址发得乱七八糟——这种故障最难查，因为一切看起来都“自己好了”。

2. 装之前把环境清点完：V2.3 吃哪些系统条件

安装包里是什么形态，决定了后面几步怎么走。这类 Windows 下的轻量 DHCP 服务端，常见做法是绿色发布：一个主程序加一个配置文件，可能带几个命令行辅助工具，不需要装运行库，也不需要重启。但“绿色”不等于随便扔哪都行，系统层面的前置条件没对齐，程序双击起来看着正常，客户端照样拿不到地址。

2.1 位数、系统版本与运行库对齐

先确认三件事：系统位数、系统版本、是否装过 VC 运行库。位数不匹配最典型的症状是双击闪退，或者服务注册成功但启动即停——事件查看器里能看到 0xc000007b 这类错误码，翻译过来就是“你把 64 位程序扔给了 32 位环境”，或者反过来。查看位数不用进系统属性，一条命令就够：

# 输出 x86 表示 32 位系统；带 AMD64 表示 64 位系统 echo %PROCESSOR_ARCHITECTURE%

逻辑说明：这条命令读的是环境变量PROCESSOR_ARCHITECTURE，在 64 位系统上跑 32 位命令行窗口时，可能会显示x86，所以更稳的写法是同时看PROCESSOR_ARCHITEW6432，它有值就说明宿主是 64 位。参数没什么可调的，属于纯读取。

系统版本上，V2.3 这类工具一般覆盖到 Windows 7 SP1 之后的桌面版和对应的服务器版。真正卡人的不是版本号高低，而是家庭版和专业版在服务管理、防火墙策略上的差别：家庭版能用sc注册服务，但组策略和部分高级防火墙规则缺失，如果你的放行策略打算走组策略下发，就得换专业版以上。运行库方面，如果发布包里带了vcruntime140.dll、msvcp140.dll这类文件，说明它是用 VC 编译的，目标机器没装对应运行库时会报“缺少 xxx.dll”。我一般不在目标机上装整套运行库，直接把缺的 DLL 放到程序同目录，简单、可回滚，缺点是要跟着程序目录一起备份。

表里最后两行容易被忽略。DHCP 服务要监听 67 端口，Windows 上低于 1024 的端口在部分策略下需要显式授权；日志目录如果放在C:\Program Files下，普通权限写不进去，程序会静默失败——不报错，但日志永远是空的，这种“黑匣子”状态最费时间。

2.2 网络前置：静态地址、监听网卡、67 和 68 端口

DHCP 服务端的地址必须是静态的，这一条没有商量余地。机器自己靠 DHCP 拿地址，再去给别人发地址，租约一到期就是连环故障。所以在装之前，先把承载服务的网卡配成静态地址，并且这个地址要落在你要服务的那个网段里，比如网段是192.168.50.0/24，服务端就配192.168.50.2，网关192.168.50.1。

# 给指定网卡配静态地址，网卡名按 ipconfig 输出替换 netsh interface ipv4 set address name="本地连接" source=static address=192.168.50.2 mask=255.255.255.0 gateway=192.168.50.1 # 顺便把 DNS 也固定下来，避免服务端自己解析抖动 netsh interface ipv4 set dnsservers name="本地连接" source=static address=192.168.50.2 register=primary

逻辑说明：name=后面的网卡名必须和系统里完全一致，中文名的引号不能省；source=static是固定写法；gateway可以留空，但留空后服务端自己出网会受影响，一般还是填上。第二条把 DNS 指向内网地址，如果内网没有 DNS 服务器，这一步可以跳过，改成留空。

端口这块要记住两个数字：服务端监听 UDP 67，客户端用 UDP 68 应答。多网卡机器上必须先确定监听哪张网卡，常见做法是在配置文件里写死监听地址，而不是写“全部监听”。原因很实在：一台机器同时连着办公网和测试网时，全监听会把测试网的地址池发到办公网去，那场面相当难看。查看端口占用用：

# 查 UDP 67 是否已被别的进程占用，最后一段 PID 用于定位进程 netstat -ano -p UDP | findstr ":67"

逻辑说明：-a列全部连接，-n用数字显示端口，-p UDP只看 UDP 协议，findstr ":67"过滤出含 67 的行。注意:67也会匹配到 6700 之类的端口，看的时候眼睛扫一下完整端口号。找到 PID 后用tasklist /fi "pid eq <PID>"反查进程名。

提示：Windows 自带的“Internet 连接共享”会占用 UDP 67。如果机器开过网络共享，先去服务列表把Internet Connection Sharing (ICS)停掉并设为手动，再装 DHCP 服务，能省掉一轮排查。

2.3 权限与共存：先把会冲突的服务关掉

最容易被跳过的一步是“清场”。同一广播域里如果有第二个 DHCP 在跑，两个服务会同时回应 DISCOVER，客户端按先到的 OFFER 走，表现就是“有时候地址对，有时候地址不对”，属于玄学级别的问题。上线前把路由器上的 DHCP 功能关掉，或者确认它只服务另一个网段，这一步别省。

本机上同样要清。Windows Server 版本如果装了 DHCP 服务器角色，必须卸载角色或停用服务；桌面版没有这个角色，但可能开着 ICS，前面提过。检查方式：

# 列出所有与 DHCP 相关的服务及当前状态 sc query state= all | findstr /i "dhcp"

逻辑说明：state= all表示连停用的服务一起列，/i让 findstr 忽略大小写。输出里重点看Dhcp（客户端服务，别停，停了自己也拿不到地址）和SharedAccess（ICS 的宿主服务）。真正要停的是后者，以及可能存在的第三方 DHCP 组件。

权限方面，注册服务、绑定低端口、修改防火墙都需要管理员。做法是右键“以管理员身份运行”打开命令行，而不是在普通窗口里反复试。判断当前窗口有没有提权，一条命令：

# 能返回 Administrators 说明已提权；报错说明还是普通权限 net session >nul 2>&1 && echo Administrators || echo NotElevated

逻辑说明：net session需要管理员权限才能执行，成功即提权，>nul 2>&1把输出和错误都丢掉，只看返回码。&&和||分别对应成功和失败分支。这条命令我几乎每个环境都会先敲一遍，比装到一半发现没权限强。

3. 从解压目录到系统服务：安装动作的先后顺序

环境清完，进入安装。顺序上我习惯“先落盘、再试跑、后注册”，让程序先以控制台方式跑起来，能立刻看到报错，确认配置无误后再注册成服务。反过来做也行，但服务启动失败时错误信息会进事件日志，翻起来没那么直接。

3.1 落盘位置与目录结构约定

不要把程序丢在桌面或者下载目录。路径里带空格、带中文、带括号，都可能在某些命令行参数传递环节出问题。我一般固定用C:\DHCP\作为根目录，下面分三块：程序本体、配置、日志。

# 建立固定目录结构，日志单独一层便于按天清理 mkdir C:\DHCP mkdir C:\DHCP\conf mkdir C:\DHCP\logs # 把发布包解压到 C:\DHCP，主程序按实际文件名替换 dir C:\DHCP

逻辑说明：mkdir在 Windows 命令行里一次只能建一层，所以要分开写；如果目标目录已存在会提示“子目录或文件已存在”，不影响后续操作。最后用dir确认主程序、配置文件模板、可能的辅助工具都在。目录分层的意义在于备份和迁移：整个C:\DHCP打包走，换台机器解压、改监听地址，就能拉起同样的服务，配置和日志不会混在系统目录里找不着。

配置文件的位置有两种常见做法：放程序同目录，或放conf子目录。后者更整洁，但要在启动参数或服务参数里指明路径，容易漏。我倾向放程序同目录、文件名固定，减少一个变量。日志则一定要能按天切割，否则跑上几个月，单个日志文件能涨到几百兆，出问题时打开都费劲。

3.2 先控制台试跑，再注册为服务

第一次运行，别急着注册服务。用控制台模式启动，窗口里会直接打印绑定网卡、监听端口、加载了几个作用域、有没有报错，这些信息比事件日志直观得多。

# 假设主程序为 dhcpsrv.exe，先以控制台方式前台启动观察输出 cd /d C:\DHCP dhcpsrv.exe -c conf\dhcp.ini

逻辑说明：cd /d里的/d允许跨盘符切换，别省。-c是常见的指定配置文件参数，具体参数名以发布包里的说明为准，如果程序不支持这个参数，一般会自己读取同目录的默认配置文件。跑到这一步，正常输出应该能看到“listening on 192.168.50.2:67”这类字样，以及作用域加载条数。如果窗口一闪就关，说明是双击运行而不是命令行运行；如果长时间无输出，多半卡在绑定网卡上，回头看 2.2 节的监听地址。

确认没问题后按 Ctrl+C 停掉，再注册服务。注册用系统自带的sc：

# 注册服务，注意 binPath= 等号后必须有一个空格，start= auto 表示开机自启 sc create DHCPv2 binPath= "C:\DHCP\dhcpsrv.exe -c C:\DHCP\conf\dhcp.ini" start= auto DisplayName= "DHCP Server V2.3" # 启动并查看状态 sc start DHCPv2 sc query DHCPv2

逻辑说明：sc create的服务名DHCPv2自己定，后面配置和排查都靠这个名字。binPath=的值整体用引号包住，因为路径里带空格；等号后面那个空格是sc的硬性语法要求，漏了会报“参数错误”，这是新手最常踩的一个坑。start= auto设为自动，也可以先用demand手动启动，验证完再改。DisplayName=是服务列表里显示的名字，和系统里已有的服务重名会创建失败。

如果发布包自带安装参数（比如-install），优先用它，因为它通常会把服务描述、失败恢复策略一起配好。判断方法很简单：看目录里有没有install.bat之类的脚本，或者说明里有没有相应参数。用sc手工注册的好处是透明，每一步做了什么自己清楚，坏处是失败恢复策略得自己补：

# 服务异常退出时，5 秒后自动重启，最多重试 3 次 sc failure DHCPv2 reset= 86400 actions= restart/5000/restart/5000/restart/5000

逻辑说明：reset= 86400表示计数器每 86400 秒（一天）清零；actions=后面的三元组是“动作/延迟毫秒”，这里配了三次重启，每次延迟 5 秒。DHCP 服务挂掉的影响很大，配了失败恢复至少能自己站起来一次。

3.3 防火墙放行与网卡绑定复核

服务启动成功，不等于客户端能拿到地址。Windows 防火墙默认会拦入站 UDP 67。放行规则要写清楚，别整条关防火墙。

# 只放行入站 UDP 67，规则名固定便于以后删除 netsh advfirewall firewall add rule name="DHCP-Server-UDP67" dir=in action=allow protocol=UDP localport=67 profile=domain,private # 查看规则是否生效 netsh advfirewall firewall show rule name="DHCP-Server-UDP67"

逻辑说明：dir=in是入站方向，action=allow放行，protocol=UDP和localport=67精确到端口。profile=domain,private只对域网络和专用网络生效，不建议带public——机器接公网时开着 DHCP 入站没有意义，还多一个暴露面。删除规则用netsh advfirewall firewall delete rule name="DHCP-Server-UDP67"，名字固定就是为这一步。

最后复核监听地址。多网卡机器上，用ipconfig /all把所有网卡的地址列出来，逐条和配置文件里的监听地址对照，确认没有把办公网的地址写进去。这一步看起来多余，但我见过至少两次“池子配对了、端口放行了、服务也在跑，就是不发地址”，最后发现监听的是虚拟网卡——装了虚拟机软件之后多出来的那张网卡，地址段和真实网段长得还挺像。

4. 配置作用域：地址池、租约和保留地址的写法

配置是这个工具真正的价值所在。路由器的 DHCP 只能改个池子起止，而这里可以把保留地址、租约时长、下发选项全部写死在文本文件里，改完重启服务就生效，也能直接进版本管理。

4.1 配置文件结构与最小可用配置

先看一个能跑起来的最小配置。字段名按常见叫法写，实际字段以发布包里的示例文件为准，重点是结构：分节、键值对、一行一个。

[General] ; 监听地址必须是本机某张网卡的静态地址 ListenAddress = 192.168.50.2 ; 租约时长，单位秒，86400 即 24 小时 LeaseTime = 86400 [Scope] ; 地址池起止，必须与监听地址同网段 PoolStart = 192.168.50.100 PoolEnd = 192.168.50.199 SubnetMask = 255.255.255.0 Router = 192.168.50.1 DNS = 192.168.50.2 Domain = test.lan

逻辑说明：[General]段管服务本身，ListenAddress决定在哪张网卡上应答，写错等于白装；LeaseTime用秒，别填成小时。[Scope]段管下发内容，PoolStart/PoolEnd是可分配的动态范围，SubnetMask必须和网段一致，Router就是下发出去的默认网关，DNS可以写多个、用逗号分隔，Domain是域名后缀，内网没有域控可以不写。

还有一条硬规则：地址池不能覆盖服务端自己的地址、网关地址和后面要配的保留地址。192.168.50.2和192.168.50.1都在池外，这是对的；如果池子写成.1到.199，网关地址会被发出去，网内就会出现两台设备抢同一个 IP。这种错误配完当场看不出来，等客户端续租才爆。

4.2 池子怎么切、保留地址怎么写

池子的划分按“留头留尾”的习惯来：网段最前面几十个地址留给网络设备和服务端，最后面一段留给保留，中间才是动态池。以/24为例，1~49静态使用，50~199动态，200~254留作扩展。这个划分不是硬规定，但一旦定了就写进文档，后面加设备才不会乱。

保留地址（按 MAC 绑定）的写法一般是一行一条：

[Reservations] ; MAC 地址写法各版本略有差异，常见是短横线分隔的全大写形式 AA-BB-CC-11-22-33 = 192.168.50.20 AA-BB-CC-11-22-44 = 192.168.50.21

逻辑说明：左边是客户端网卡 MAC，右边是固定分配的地址。MAC 格式是最容易翻车的地方——有的版本吃AA-BB-CC-11-22-33，有的吃AABBCC112233，有的要求全小写。写法不对不会报错，表现只是“绑定了但没生效”，客户端照旧从池子里拿地址。查客户端 MAC 用ipconfig /all，看“物理地址”那一行，注意别把虚拟网卡的 MAC 抄进去。

保留地址必须在池子范围之外，或者至少在池子里被排除掉，否则动态分配可能先把.20发出去，等那台设备上线就冲突。稳妥做法是保留地址段整体放在池外，比如池子是.100~.199，保留就用.20~.49，两边永不重叠。

4.3 租约时长：短了抖，长了脏

LeaseTime是除地址池外第二个需要认真对待的参数。设短了，客户端频繁续租，无线环境里尤其容易看到“偶尔断一下”；设长了，设备搬走之后地址还占着，回收慢。

经验值按场景分：办公网、测试台这类设备位置基本固定的，86400（24 小时）够用；会议室、临时接入的设备多的网段，3600~7200（1~2 小时）更合适；如果有大量移动设备反复进出，可以压到1800（30 分钟）。租约到了 T1（50%）客户端开始续租，T2（87.5%）开始广播找任何可用服务器，所以租约设得太短时，网里的广播包会明显变多，抓包一看全是 REQUEST。

改租约不用删配置文件重建，改完值重启服务即可，已发放的租约按新值在下次续租时生效。要立刻生效就重启服务，让客户端重新走一遍 DISCOVER。

4.4 下发选项：网关、DNS 和别乱发的字段

Router和DNS是最常改的两个。网关发错了，客户端能拿到地址但上不了网，症状是“IP 有了、ping 不通外网”，很容易被误判成 DNS 问题。DNS 发错了，域名解析全挂，但 ping IP 是通的——这两个现象要能分开，排查能省一半时间。

除了这两个，常见的还有Domain（域名后缀）、NTP（时间服务器）、WINS（老环境才用）。我一般只发前三个，其余留空。原因很实际：多发的字段如果内网没有对应服务，客户端会拿着一个不存在的地址去请求，超时、卡顿、日志里一堆噪音。尤其是NTP，发了但服务器不存在，域内机器的时间同步会一直失败。

改配置的流程固定为：改文件 →sc stop DHCPv2→sc start DHCPv2→ 看日志确认作用域加载成功。不要改完直接sc restart，有些版本对配置文件是启动时一次性读取，热重载不一定支持。

5. 避坑与排查：五条花时间换来的记录

5.1 服务在跑，客户端就是拿不到地址

现象：sc query显示 RUNNING，防火墙规则也加了，客户端ipconfig /renew一直超时。

原因：八成是监听地址绑错了网卡。多网卡机器上，程序默认可能绑到第一张网卡或者全部监听，而实际客户端在另一张网卡的广播域里；也可能是绑了虚拟网卡（虚拟机软件、容器工具装完后多出来的那张）。

解决：ipconfig /all列出全部网卡，确认目标网段对应哪张，把配置文件里的ListenAddress改成那张网卡的静态地址，重启服务。改完用netstat -ano -p UDP | findstr ":67"看监听的本机地址是不是你期望的那个，0.0.0.0:67表示全监听，192.168.50.2:67才是绑对了。

5.2 地址有时候对、有时候不对

现象：同一台机器反复ipconfig /release再/renew，拿到的地址在正确池子和另一个陌生池子之间跳。

原因：广播域里有两个 DHCP 在应答。路由器上的 DHCP 没关，或者另一台机器上跑着第二个服务。两个服务同时收到 DISCOVER，各自回 OFFER，客户端按先到的走。

解决：先把路由器管理页面里的 DHCP 功能关掉；关不掉就做网段隔离。本机排查用sc query state= all | findstr /i "dhcp"，再配合交换机侧查广播。确认只有一个应答源之后，问题自然消失。这类故障的隐蔽性在于“大部分时候是好的”，很容易被当成偶发。

5.3 保留地址配了但不生效

现象：配置文件里写了 MAC 绑定，重启服务后那台设备还是从动态池拿地址。

原因：三种可能——MAC 格式不对、MAC 抄错（抄成了无线网卡或虚拟网卡）、保留地址落在动态池范围内被先分配了。

解决：先在服务端日志里找那台设备的请求记录，看它上报的 MAC 是什么格式，按日志里的格式回填配置；再确认保留地址在池外；最后重启服务。查 MAC 时用getmac /v比ipconfig /all更直观，它会把每张网卡和对应的 MAC 一起列出来，传输名称那一列能看出是哪张物理网卡。

5.4 重启机器后服务没起来

现象：手动sc start一切正常，重启后客户端全拿不到地址。

原因：注册服务时start=写成了demand（手动），或者虽然写了auto但服务启动依赖没满足，启动失败后没有重试。

解决：sc qc DHCPv2看START_TYPE是不是AUTO_START，不是就改：sc config DHCPv2 start= auto。再补一条失败恢复策略，让它在异常退出时自动重启。改完重启一次机器实测，别只看命令返回成功。

5.5 日志里全是 DISCOVER，没有 OFFER

现象：打开日志，能持续看到客户端的 DISCOVER 请求，但服务端没有对应的 OFFER 记录。

原因：作用域和请求来源不匹配。客户端的地址段、掩码和服务端配置的PoolStart/PoolEnd/SubnetMask不在同一个网段，服务端认为这个请求不归自己管，直接丢弃。

解决：核对三处——服务端监听地址、作用域网段、客户端实际所在网段。常见情况是网段改过但配置文件没跟着改，或者子网掩码写成了255.255.0.0把范围放大了一圈。改完配置重启服务，日志里应该立刻出现 OFFER 和 ACK。

注意：排查顺序建议固定为“服务状态 → 端口监听 → 防火墙 → 作用域匹配 → MAC 绑定”，从外到内，别一上来就翻配置文件。前四步任何一步不过，后面改什么都没用。

6. 装完怎么验证：四层确认，一层都不能跳

装完不等于跑通，得有四层确认。第一层看服务本身：sc query DHCPv2状态是 RUNNING，sc qc DHCPv2里启动类型是 AUTO_START，失败恢复策略已配。第二层看端口：netstat -ano -p UDP | findstr ":67"输出的本机地址应该是你配的那个静态地址，不是0.0.0.0，也不是空白。第三层用一个真实客户端验证：先ipconfig /release，再ipconfig /renew，拿到地址后用ipconfig /all核对网关、DNS、租约时间三项是否和配置文件一致——很多人只看到“拿到 IP 了”就收工，结果网关发错，第二天才被投诉。

第四层是抓包或者看日志。抓包用系统自带的pktmon就够，不需要装额外工具：

# 只抓 UDP 67/68，过滤后用 pktmon 查看，验证 DORA 四步是否完整 pktmon filter remove pktmon filter add -p 67 -t UDP pktmon filter add -p 68 -t UDP pktmon start --capture --pkt-size 128 -f C:\DHCP\logs\dhcp.etl

逻辑说明：先清空旧过滤器，避免叠加；两条filter add分别抓服务端和客户端端口，-t UDP限定协议；--pkt-size 128只保留报文头部，DHCP 的关键字段都在前面，没必要留全包。跑几十秒后按 Ctrl+C 停止，用pktmon format C:\DHCP\logs\dhcp.etl -o C:\DHCP\logs\dhcp.txt转成文本再用记事本看。正常情况下应该能看到完整的 DISCOVER → OFFER → REQUEST → ACK 四步，缺哪一步，问题就出在哪一段。

用日志验证更省事，前提是日志目录可写（回头看 2.1 节表格最后一行）。日志里每次分配应该有一行记录，包含时间、客户端 MAC、分配地址、租约到期时间。我习惯连跑三个客户端，然后拿日志和ipconfig /all的结果逐条对，重点看保留地址那几台是不是真的拿到了固定值。这个动作花不了五分钟，但能提前发现 MAC 格式和池子重叠这两类问题。

这四层里我吃过最狠的一次亏是在客户端层：地址拿到了、网关对了，唯独租约时间没看，结果配的是 300 秒，一屋子设备每隔五分钟集体续租一次，网内广播肉眼可见地涨。从那以后我每次装完 DHCP，都会在客户端上多敲一遍ipconfig /all，把租约到期时间也读一遍再收工。省这一步，后面补的时间是它的十倍。希望帮到你。

本文还有配套的精品资源，点击获取