1. 从一次局域网分配故障说起为什么要在Linux里自建DHCP先说个真实场景。前阵子帮一个朋友整理他们办公室的网络设备不算多大概三十来台电脑加几十个手机用的是一台家用路由器当网关。问题很典型新来的同事笔记本一连Wi-Fi要么拿不到IP要么拿到一个和隔壁网段冲突的地址视频会议隔几分钟断一次。登录路由器后台看了一眼DHCP地址池乱成一锅粥租约记录和实际在线设备对不上手动改了几次掩码和网关治标不治本。那段时间我正好在几个虚拟机里验证Linux环境下批量部署的方案顺手就把DHCP服务从路由器上摘了出来放到一台Ubuntu Server上配合核心交换机做统一地址下发。跑了两周效果比预想中稳定得多之后又陆续在几个模拟环境里复现和拆解过这套配置。这篇文章就是把整个Linux搭建DHCP服务的思路、配置文件和踩坑过程完整记录下来从原理到配置再到排错都会覆盖适合刚接触Linux网络服务、或者正被家用设备分发IP搞得头大的读者参考。先说明一点DHCP本身不是什么高深技术但只要局域网里设备一多、网段一复杂它就成了最容易出问题也最影响上网体验的一环。自己动手在Linux上搭一个最大的好处是行为完全可控——地址池、租约时间、DNS、网关、保留地址全部自己说了算不再受小黑盒固件的限制排查问题的时候也能直接看日志和抓包不用瞎猜。下面我们按一个从零开始的顺序来走先搞懂DHCP的几个关键动作再规划环境、写配置、跑服务最后把我会遇到的各种“怎么又不通了”的情况一并讲清楚。2. DHCP工作的四个关键动作以及Linux服务端扮演的角色2.1 一次IP下发的完整流程DHCP全称是Dynamic Host Configuration Protocol核心任务就是让设备开机时自动拿到网络参数。协议本身走UDP客户端用68端口服务端用67端口整个交互过程可以拆成四个阶段DISCOVER发现新设备进入网络后不知道谁在管地址分配于是往255.255.255.255这个广播地址发一个DHCPDISCOVER包源IP是0.0.0.0目的端口是67。OFFER提供网段内的DHCP服务器收到广播后如果觉得自己可以提供服务就从地址池里挑一个可用IP连同子网掩码、网关、DNS这些参数一起以DHCPOFFER包回复出去。REQUEST请求设备可能同时收到多台服务器的OFFER但一般只会选择其中一台然后向服务器发送DHCPREQUEST明确表示“我就要这个IP”。ACK确认服务器收到REQUEST后确认该IP还没有被占用就下发DHCPACK并把租约信息记录下来。设备拿到ACK配置网卡开始正常通信。这套流程里最容易被忽略的是租约这个概念。DHCP并不会永久把某个IP给某台设备而是默认给一个租期比如8小时或24小时。租期过半时设备会尝试续租发一个REQUEST请求继续持有如果服务器没有拒绝就续约成功。这样设计的好处是IP资源能被循环利用但坑也藏在里面——如果租期设置太长地址回收就慢设置太短网络里全是续租广播白白增加负担。2.2 服务端的角色边界Linux上自建DHCP服务本质上就是跑一个daemon进程负责维护地址池、处理DISCOVER和REQUEST、记录租约。至于谁能拿到哪个IP、一个IP能用多久、要不要给某些MAC地址固定保留这些规则全部由配置文件决定。我在规划阶段通常会把职责拆成三层接入层交换机或AP负责把设备接入局域网不做IP分配。网关层路由器/三层交换机负责跨网段转发DHCP服务不需要由网关承担。服务层独立的Linux服务器专门跑DHCP服务统一分配和管理IP。为什么要强调这个拆分因为很多人习惯把DHCP塞进路由器省事是省事但一旦要调整地址池、看历史租约、做固定IP分配就会发现家用设备能提供的信息非常有限。换成Linux服务端之后所有状态都落在文件里比如租约数据库直接cat出来就能看到哪台设备什么时候拿过哪个IP诊断效率完全不是一个级别。3. 环境准备与软件选型少走弯路的两个前提3.1 网卡配置给服务端一个稳固的静态IPDHCP服务器自己必须有一个稳定的IP地址否则设备拿到的网关和DNS都没法稳定工作。这一步别偷懒一定要把网卡改成静态IP而不是依赖另一个DHCP。以常见的Ubuntu Server为例在/etc/netplan/目录下写好配置文件下面这段是一个最基础的例子network: version: 2 ethernets: eth0: dhcp4: false addresses: - 192.168.50.1/24 routes: - to: default via: 192.168.50.1 nameservers: addresses: - 192.168.50.1这里直接把服务器IP定为192.168.50.1同时也作为网关和DNS入口。如果你打算让真正的路由器继续当网关那服务器IP就设成一个普通的内网地址比如192.168.50.10网关指向上游路由器。改完后执行netplan apply ip addr show eth0确认IP生效。这一步出问题的情况蛮多常见的是系统里同时存在NetworkManager和netplan两套网络管理工具改完配置后要么重启网络服务要么彻底停掉NetworkManager对这块网卡的管理不然配置文件永远不生效。3.2 装哪个DHCP软件ISC DHCP还是dnsmasqLinux下主流的DHCP服务端有两个一个是传统的ISC DHCP包名常见为isc-dhcp-server或dhcp另一个是轻量级的dnsmasq。我的建议是如果你要负责的是几十人规模以上的正经局域网优先选ISC DHCP如果只是想在树莓派或者开发环境里快速用一个dnsmasq更省事。两者差异主要在功能边界上ISC DHCP功能全支持多网段、动态DNS更新、故障转移failover、复杂的option配置适合作为企业环境的核心服务。dnsmasq本身就带DNS转发和缓存功能DHCP只是它的一个模块启动内存占用很低配置也简单但在大规模动态分配和授权管理上不如ISC灵活。不同的Linux发行版安装命令略有差异。在Ubuntu/Debian系上apt update apt install isc-dhcp-server在RHEL/CentOS/Fedora系上dnf install dhcp-server安装完成后先不要急着启动服务因为默认配置文件不完整直接systemctl start多半会失败。我们先把配置文件写好再启动。3.3 确认服务监听哪个网卡ISC DHCP安装后有一个关键设置它默认绑定哪张网卡。如果服务器有多块网卡服务却监听在错误的接口上就会表现为“服务正常但客户端拿不到IP”。在Ubuntu/Debian上这个设置在/etc/default/isc-dhcp-serverINTERFACESv4eth0 INTERFACESv6在RHEL系上则需要检查服务文件或sysconfig里的参数。这一步一定要和前面设置的静态IP网卡保持一致比如你的局域网网卡是eth1这里就必须写eth1否则再怎么调子网配置也没用。4. dhcpd.conf配置实战先跑通最小可用配置再谈参数优化4.1 最小配置也能干活ISC DHCP的主配置文件路径一般是/etc/dhcp/dhcpd.confUbuntu/Debian或/etc/dhcp/dhcpd.confRHEL系也是这个路径。先写一个最简版本目的在于验证整个链路是否通default-lease-time 600; max-lease-time 7200; option domain-name example.lan; option domain-name-servers 192.168.50.1; option routers 192.168.50.1; option subnet-mask 255.255.255.0; subnet 192.168.50.0 netmask 255.255.255.0 { range 192.168.50.100 192.168.50.200; }逐行解释一下关键点default-lease-time和max-lease-time的单位是秒。600秒是10分钟7200秒是2小时。测试阶段建议把默认租期放宽比如3600或86400否则续租日志刷得太快反而不容易看出问题。option domain-name-servers告诉客户端用哪个DNS服务器这里直接指向了DHCP服务器本身前提是你这台机器上有DNS转发能力。没有的话写成上游DNS地址比如公共DNS。option routers就是网关地址客户端拿到这个地址后填写到自己的路由表里。subnet块是核心声明range指定了可动态分配的IP范围。注意range不要和服务器自己的IP、交换机管理IP、打印机等静态IP混在一起否则容易冲突。配置写完后先做语法检查dhcpd -t -cf /etc/dhcp/dhcpd.conf这个命令只看配置语法不启动服务。输出“no errors”之类的提示就可以继续。如果报错大多数情况是少了分号、花括号没配对或者写了两个同名的subnet块。语法通过后启动服务systemctl start isc-dhcp-server systemctl enable isc-dhcp-server systemctl status isc-dhcp-server看到active (running)之后拿一台测试机把网卡改成DHCP自动获取正常情况下就能拿到192.168.50.100到200之间的地址。这一步通了说明核心链路没问题再往上一层层加需求。4.2 参数设置的逻辑不要照着模板抄很多人配置DHCP喜欢从网上找模板一贴就完事。我建议还是理解每个参数的用途不然出了问题根本没法判断是配置问题还是网络问题。几个需要重点关注的参数default-lease-time客户端没有主动要求租期时的默认租期。建议设在4小时到24小时之间。办公网络设备稳定在线可以设长一点减少续租广播临时测试网段或者访客Wi-Fi设短一点比如半小时地址回收更快。max-lease-time客户端要求一个更长租期时服务端能够给的上限。这个值必须大于default-lease-time。authoritative这个参数很容易被忽略但作用很大。它声明“本网段内我说了算”。如果不加遇到设备原来持有某个IP但服务器不认的情况服务端会拒绝发NAK加上之后服务端会主动让客户端放弃冲突的旧地址重新分配。我一般在subnet块外或者作用域里都明确写上。ping-check默认情况下dhcpd在分配地址前会发一个ICMP探测检查这个IP是否已经被其他主机占用。如果你的地址池和静态设备范围有重叠开着这个能救你一命如果网络里有人故意攻击这个检查也会增加延迟。建议留着默认开启。出现冲突的时候日志里会显示类似“DHCPDISCOVER from xx:xx... not responding to ping”的提示这说明地址池里有地址正在被别的设备占用要么把静态设备排除要么缩小range。5. 固定IP、多网段中继与租约管理真实环境里躲不开的需求5.1 给特定设备分配固定IP用MAC地址绑定办公室里的打印机、网络摄像头、门禁控制器这类设备往往需要稳定的IP地址。在DHCP服务里做固定分配有好几种方式最直接的是在subnet块里写host声明subnet 192.168.50.0 netmask 255.255.255.0 { range 192.168.50.100 192.168.50.200; option routers 192.168.50.1; host printer-01 { hardware ethernet 00:1A:2B:3C:4D:5E; fixed-address 192.168.50.10; } host camera-01 { hardware ethernet 00:1A:2B:3C:4D:5F; fixed-address 192.168.50.11; } }需要注意的是固定地址最好落在range之外比如range从100开始固定地址放在10到20这段从源头上避免冲突。如果实在要让固定地址落在range里那dhcpd在发现地址有争议时会因为记录冲突而拒绝分配——这是常见的“明明配置了却拿不到IP”的原因。MAC地址怎么查Linux里用ip link showWindows里用ipconfig /all找到“物理地址”那一栏。绑定之前先确认MAC格式字母小写分隔符是冒号。5.2 多网段和DHCP中继服务端不在客户端隔壁网段时网段一多DHCP服务端不可能每个网段都放一台。更常见的做法是DHCP服务器只在某个核心网段其他VLAN的交换机把DHCP广播包单向转发到服务器所在网段这个过程叫DHCP Relay在思科设备里常用命令ip helper-address在Linux设备上可以用dhcrelay工具。配置relay之前DHCP服务端要先声明这些远端子网subnet 192.168.60.0 netmask 255.255.255.0 { range 192.168.60.100 192.168.60.200; option routers 192.168.60.1; } subnet 192.168.70.0 netmask 255.255.255.0 { range 192.168.70.100 192.168.70.200; option routers 192.168.70.1; }启用DHCP中继的命令大概是这样的dhcrelay -d 192.168.50.1 -i eth0 -i eth1注意中继转发时会改掉数据包的源IP和目的IP如果交换机配置不对报文根本到不了服务器如果服务器上没写对应的subnet块DHCPOFFER也不会回。所以排障思路一定是从服务器日志和交换机抓包两头一起看单纯盯客户端没意义。5.3 租约文件怎么看ISC DHCP会把租约记录写在/var/lib/dhcp/dhcpd.leases打开后能看到一条条记录包含MAC地址、分配的IP、租约起止时间。这个文件在服务重启时会被读取一次如果文件损坏服务可能起不来所以不要手贱直接编辑这个文件。真想清理租约应该先停服、备份文件、删除内容、再启动服务而不是在运行状态下改。lease 192.168.50.100 { starts 1 2025/01/06 09:00:00; ends 1 2025/01/07 09:00:00; binding state active; hardware ethernet 00:1A:2B:3C:4D:5E; }我经常用下面这条命令快速统计当前活跃租约数量grep binding state active /var/lib/dhcp/dhcpd.leases | wc -l6. DHCP服务不工作的排查链路从现象反推根因有过一次经验之后再遇到“电脑获取不到IP”我都按一条固定链路来查效率高很多。6.1 服务状态和配置层面第一步永远是看服务到底起没起systemctl status isc-dhcp-server journalctl -u isc-dhcp-server -n 50 --no-pager如果服务反复restart通常是配置文件有问题跑一遍语法检查dhcpd -t -cf /etc/dhcp/dhcpd.conf常见错误包括option routers写成了option router、subnet和netmask不匹配、地址池跨出了网段范围、少一个分号。dhcpd对语法很严格一个分号错了整个配置全部拒绝加载。6.2 网卡绑定和防火墙层面服务正常但客户端就是不拿IP时先确认监听接口对不对。用下面命令看看进程到底监听在哪个地址的67端口ss -ulpn | grep :67如果监听在0.0.0.0:67但客户端网段和服务端网段不同那就不是服务端问题是relay问题。如果监听在别的网卡上回去改/etc/default/isc-dhcp-server的INTERFACESv4。防火墙是第二个容易忽略的坑。Ubuntu默认的ufw如果开着要放行67/udp和68/udpufw allow 67/udp ufw allow 68/udpRHEL系里记得检查firewalldfirewall-cmd --permanent --add-servicedhcp firewall-cmd --reload6.3 客户端抓包确认交互过程如果服务端和防火墙都正常客户端还是拿不到IP那就要从网络报文层面确认问题。在客户端机器上或者用tcpdump抓一下网卡tcpdump -i eth0 port 67 or port 68 -n -vv正常情况下能看到四条报文来回。如果只有DISCOVER没有OFFER说明服务端收到了请求但认为不能分发大概率是subnet块不匹配或地址池耗尽如果有OFFER但没有REQUEST则是客户端拒绝了服务端提供的信息常见原因是客户端之前绑定了固定IP或者代理设置干扰。我还在真实局域网里遇到过一种情况同时存在两台DHCP服务器一个无线路由器没关DHCP新Linux服务器也开了DHCP两台都在回OFFER客户端随机选一台导致拿的网关和DNS时而正常时而错误。这种问题靠看服务端日志看不出来必须抓包才会发现网络里有两个供应商在应答所以无论多小的环境我都建议先把原有设备的DHCP关掉再上新的。6.4 地址冲突问题的处理当客户端显示“IP地址冲突”的时候说明有人和它拿着同一个IP。可能原因包括地址池范围包含了其他静态设备、服务器上没开ping-check、客户端缓存了旧租约。应对步骤缩小range给静态设备预留独立地址段。确保服务器这个网段的subnet块里有authoritative声明这样客户端拿着旧地址时会被强制更新。在客户端清理网卡缓存Windows下ipconfig /release和ipconfig /renewLinux下dhclient -r再dhclient。我自己踩过最深的一个坑是虚拟机克隆。我用虚拟机模板批量克隆测试机克隆出来的机器网卡MAC居然一样DHCP日志里全是“address in use”或者“duplicate request”。排查到后面才发现是克隆时没有重新生成MAC地址。这类问题不属于DHCP配置本身但很容易被误判成DHCP故障值得大家警惕。7. 上线后的调优与安全加固让DHCP服务更省心7.1 日志拆分与监控默认情况下dhcpd的日志会写进系统的syslog几十个设备还好数量一旦上到几百日志会非常吵。建议单独配置日志输出在/etc/rsyslog.d/里加一个规则if ($programname dhcpd) then /var/log/dhcpd.log stop然后重载rsyslog。这样排查问题的时候直接tail -f /var/log/dhcpd.log不会被其他无关日志淹没。如果服务器内存和磁盘有余量可以再加一个cron脚本每天压缩和轮转日志防止日志文件无限膨胀。7.2 防止DHCP饿死攻击的基本措施局域网里如果有人写了个脚本不停发DISCOVER地址池很快会被耗尽。ISC DHCP对这类攻击没有太多内置防护手段常用的办法是配合交换机的DHCP Snooping功能只信任指定端口的DHCP报文其他端口来的DHCPOFFER和DHCPACK直接丢弃。如果你手上只有一台普通交换机至少把地址池余量留大一点并把租期设短让未被使用的地址能快速回收。另外如果某台机器恶意申请大量租约从dhcpd.leases里很容易看出来因为同一个MAC会反复出现。可以通过脚本定期对比活跃租约数和在线设备数超过阈值就报警。7.3 高可用主备两台DHCP服务器生产环境如果只有一台DHCP服务器它挂了就意味着全网上不了网准确的说是新设备连不上网老设备还能续租扛一阵。ISC DHCP提供了failover机制可以把主备服务器的租约状态实时同步。配置思路大致是主服务器声明一个failover peer并把自己的监听地址和端口写清楚备服务器同样配置并指向主的地址。两者之间会周期通信同步租约数据库。我个人的建议是如果不是必须要达到“交换机断电都不影响IP分配”的级别可以先不上failover因为配置复杂度会明显提升。先用systemd做开机自启、再加上监控脚本性价比已经很高。等设备规模到了几百甚至过千再考虑failover也不迟。7.4 一个提高可维护性的习惯DHCP配置文件的注释一定要写清楚。我见过太多没有注释的dhcpd.conf三个月后再看完全想不起来某个网段为什么要用这个range。我会在每个subnet块顶部写一行注释记录网段用途、设备数量、预估租约规模比如“办公区台式机约60台租期24小时”。这个习惯看起来不起眼但真的能省很多后续维护的时间。最后再分享一个小经验每次改动配置文件后不要直接重启服务先用dhcpd -t检查再systemctl reload最后看日志确认客户端能正常拿到IP。如果条件允许准备一台专门的测试机配好静态备用地址每次改完配置启动后让它重新获取一次地址能第一时间验证服务是否正常。这个流程走顺之后Linux搭建DHCP服务这件事就从“折腾一个软件”变成了“管理一套基础设施”处境会完全不同。