Как настроить DHCP-сервер и что делать, если он не найден

DHCP-сервер автоматически выдаёт устройствам IP-адреса и сетевые параметры: маску, шлюз, адреса DNS-серверов и множество других параметров. Для небольшой сети эту роль обычно выполняет маршрутизатор, для корпоративной — Windows Server или Linux, например с Kea. Если DHCP-сервер не найден или не отвечает, сначала проверьте получение адреса на клиенте, затем проследите путь запросов до сервера: причиной может быть остановленная служба, неверный VLAN, исчерпанный диапазон или фильтрация пакетов.

Что такое DHCP-сервер и зачем он нужен

DHCP хранит сетевые параметры централизованно и выдаёт их клиентам: администратору не нужно вручную прописывать адрес, шлюз, DNS или другие параметры - например адрес прокси-сервера - на каждом компьютере.

DHCP-сервер — это служба, а не обязательно отдельная машина. Клиентами выступают компьютеры, телефоны, принтеры и другие устройства. Протокол развился из BOOTP; основные правила DHCP для IPv4 описаны в RFC 2131. Далее речь преимущественно о DHCPv4: в IPv6 механизмы адресации отличаются.

Как работает DHCP: DORA, порты и аренда

Первое получение адреса обычно включает четыре сообщения. Обмен называют DORA по первым буквам их названий.

DHCPv4 использует UDP: сервер принимает запросы на порту 67, клиент — ответы на порту 68. Между сервером и агентом ретрансляции обмен обычно идёт через UDP 67. Правила межсетевого экрана должны учитывать эти направления.

Адрес выдаётся на срок аренды. По умолчанию её продление происходит так:

• T1, 50% срока: клиент обращается к серверу, выдавшему адрес.
• T2, 87,5% срока: если ответа нет, ищет доступный сервер широковещательно.
• Окончание аренды: прекращает использовать адрес без нового подтверждения.

Сервер может передать другие значения T1 и T2. При обычном продлении полный обмен DORA не требуется. Команда освобождения аренды отправляет DHCPRELEASE, но внезапно отключённое устройство может не сообщить об уходе.

Для постоянной офисной сети отправной точкой могут быть 1–7 дней аренды, для гостевой — несколько часов, при частой смене посетителей — 30–60 минут. Это примеры, а не требования протокола: короткая аренда увеличивает число запросов, длинная задерживает освобождение адресов.

Что раздаёт DHCP: параметры и опции

IP-адрес передаётся в полях сообщения, дополнительные настройки — в опциях. Их базовый набор описан в RFC 2132, опция агента ретрансляции — в RFC 3046. Ниже представлен список наиболее используемых опций, но он далеко не исчерпывающий:

Опция 15 не присоединяет компьютер к AD. Доменные Windows обычно получают время по правилам домена, а не опции NTP. Опцию 82 добавляет оборудование, передавая серверу информацию, например о порте коммутатора в который подключен клиент.

Опции 66/67 не стоит задавать всей сети без учёта схемы загрузки. BIOS и разные варианты UEFI могут требовать разных файлов; WDS и отдельный PXE-сервис также влияют на конфигурацию.

Динамические адреса, резервирование и статика

• Динамическая выдача подходит рабочим местам и гостевым устройствам: сервер выбирает свободный адрес из пула.
• Резервирование закрепляет адрес за клиентом, сохраняя автоматическое получение параметров. Удобно для принтеров и другого оборудования, где требуется постоянный адрес.
• Ручная статика задаётся на устройстве. Её часто используют для шлюзов, гипервизоров и инфраструктурных серверов, которым нельзя зависеть от получения аренды. При этом желательно также создавать и резервирование, или назначать адрес не из пула выдачи, не все серверы и клиенты могут проверять свободность адреса.

Привязка учитывает MAC-адрес или идентификатор клиента; случайные MAC-адреса Wi-Fi могут её нарушить.

Статику исключают из динамической выдачи. В примерах ниже .1–.49 отведены инфраструктуре, .50–.99 — резервированиям, .100–.200 — обычным клиентам.

Где работает DHCP-сервер: роутер, сервер или коммутатор

Выбор определяется устройством сети и требованиями к доступности:

• Небольшой офис или филиал: DHCP на маршрутизаторе упрощает сопровождение. Подходящие классы оборудования представлены в разделе маршрутизаторов Сервер Молл.
• Сеть с Active Directory: Windows Server удобен для совместного администрирования DHCP, домена и внутреннего DNS.
• Несколько площадок и автоматизация: Linux с Kea позволяет централизованно обслуживать подсети и применять развитые правила выдачи.
• Адресация на сетевом оборудовании: L3-коммутатор подходит, если поддерживает именно DHCP-сервер. Наличие маршрутизации или relay этого не гарантирует.

Мощность платформы определяет общая нагрузка, включая приложения и виртуальные машины. Подробнее — в статье «Как выбрать сервер для офиса».

ОБРАТИТЬСЯ К КОНСУЛЬТАНТУ ЗА ПОМОЩЬЮ В ПОДБОРЕ ОБОРУДОВАНИЯ

Имя Телефон Email

Даю согласие на обработку персональных данных

Отправить

DHCP-сервер не найден или не отвечает: что делать

Фразы «DHCP-сервер не найден» и «не удаётся связаться с DHCP-сервером» означают, что клиент не завершил получение настроек. Запросы или ответы могут теряться в сети.

Масштаб сбоя помогает выбрать направление поиска:

• не работает один компьютер — исследуйте его настройки и подключение;
• не получает адреса один VLAN — его шлюз, relay и область выдачи;
• новые устройства не подключаются во всех сегментах — службу, общие сетевые узлы и заполнение пулов.

Старые устройства могут некоторое время работать по действующим арендам даже после отказа сервера.

На компьютере Windows

Посмотрите конфигурацию:

ipconfig /all

Для нужного адаптера найдите состояние DHCP, IPv4, шлюз, сервер, DNS и время аренды.

169.254.x.x при неудачном автоматическом получении настроек обычно означает APIPA — локальный адрес, назначенный самой Windows. Он не доказывает поломку маршрутизатора и обычно не даёт доступа за пределы сегмента.

В свойствах IPv4 должно быть включено автоматическое получение адреса, если сеть использует DHCP. Затем проверьте службу клиента в PowerShell:

Get-Service Dhcp

Для повторного запроса выполните ipconfig /renew. Чтобы предварительно освободить старую аренду:

ipconfig /release
ipconfig /renew

Если адрес не получен, попробуйте исправный кабель и другой порт, проверьте нужную сеть Wi-Fi, включение адаптера и драйвер. Полный сброс сети оставьте для подтверждённой локальной неисправности: после него может потребоваться настройка VPN и других виртуальных адаптеров.

На компьютере Linux

Маршрутизатор MikroTik RB5009UG+S+IN. Фото: MikroTik.

Начните с адресов, маршрутов и используемого средства управления сетью:

ip -4 address
ip route
nmcli device status
nmcli connection show --active

В NetworkManager автоматическому получению соответствует ipv4.method auto. Профиль смотрят командой nmcli connection show "Office", полученные параметры — nmcli device show enp1s0. Имена профиля и интерфейса замените своими.

Для перевода существующего статического профиля на DHCP нужно убрать прежние адрес и шлюз:

sudo nmcli connection modify "Office" \
  ipv4.method auto ipv4.addresses "" ipv4.gateway ""
sudo nmcli connection up "Office"

Активация может прервать связь. Проверьте оставшиеся ручные DNS и маршруты; журнал — journalctl -u NetworkManager.

Если адресацией управляет установленный ISC dhclient, освобождение и повторный запрос выглядят так:

sudo dhclient -r enp1s0
sudo dhclient -v enp1s0

Не запускайте dhclient параллельно с NetworkManager или systemd-networkd. В системе с networkd используйте networkctl status enp1s0 и sudo networkctl renew enp1s0.

На сервере и в сети

В Windows Server проверьте службу, области, наличие свободных адресов и привязки интерфейсов:

Get-Service DHCPServer
Get-DhcpServerv4Scope
Get-DhcpServerv4ScopeStatistics
Get-DhcpServerv4Binding

Для доменного DHCP-сервера желательна также авторизация в AD. В Linux состояние Kea и сообщения об ошибках доступны так:

systemctl status kea-dhcp4-server
journalctl -u kea-dhcp4-server -n 100 --no-pager

Название службы зависит от пакета. Дальше исследуйте условия выдачи и путь пакетов:

• Пул: остались ли адреса, активна ли область, не мешают ли исключения или фильтры.
• Межсетевой экран: пропускаются ли запросы и ответы UDP 67/68 с учётом relay.
• VLAN: правильно ли настроены клиентские порты, точка доступа и межкоммутаторные соединения.
• Relay: указан ли нужный сервер и существует ли обратный маршрут.
• DHCP snooping: не блокирует ли защита ответы законного сервера из-за недоверенного порта.

Как найти место потери пакетов

На Linux-сервере или агенте ретрансляции запишите обмен:

sudo tcpdump -ni enp1s0 -vvv 'udp port 67 or udp port 68'

Выберите реальный интерфейс. Для наблюдения за чужими одноадресными пакетами на коммутируемом участке может потребоваться зеркалирование порта.

• Discover есть у клиента, но отсутствует на сервере — проблема на пути запроса или в relay.
• Discover доходит, Offer отсутствует — исследуйте пул, выбор подсети, интерфейс и правила сервера.
• Offer уходит, но не приходит клиенту — смотрите обратный путь и фильтрацию.
• Вместо подтверждения приходит NAK — сервер считает запрошенный адрес неподходящим.

Сопоставляйте записи по времени, транзакции и клиенту. ACK с неверным шлюзом подтверждает аренду, но не правильность параметров.

Как узнать, какой DHCP-сервер выдал адрес

В Windows адрес сервера указан в ipconfig /all. В NetworkManager он часто виден среди DHCP4.OPTION вывода nmcli device show как dhcp_server_identifier.

В перехвате ищите опцию 54 сообщения Offer или ACK. При работе через relay ближайший отправитель пакета не обязательно является самим DHCP-сервером. Несколько Offer от разных серверов требуют расследования: источником лишнего ответа может оказаться бытовой роутер или тестовая виртуальная машина.

Когда адрес выдан, но доступ не работает

• Неверная маска искажает границы локальной сети.
• Ошибочный шлюз нарушает доступ к другим подсетям.
• Неподходящий DNS мешает открывать ресурсы по именам и находить службы домена.
• Пересечение пула со статикой или другим независимым пулом создаёт дубликаты адресов.

Если ресурс доступен по IP, но не по имени, исследуйте DNS. Доменным компьютерам обычно нужны внутренние DNS.

Настройка DHCP на MikroTik

Порядок настройки RouterOS 7 описан в документации DHCP Server MikroTik. Сначала посмотрите существующую конфигурацию: DHCP часто уже настроен производителем.

Мастер и ручная настройка

В Winbox откройте IP → DHCP Server → DHCP Setup. Мастер запросит интерфейс, подсеть, шлюз, диапазон, DNS и срок аренды. В терминале его запускают так:

/ip dhcp-server setup

Выбирайте логический интерфейс локальной сети: мост или VLAN. Если порт включён в мост, DHCP обычно настраивают на самом мосту. У интерфейса должен быть IP-адрес; WAN не объединяют с LAN ради получения аренды.

Ручной пример предполагает существующий мост bridge. Адрес добавляйте только при его отсутствии:

/ip address add address=192.168.10.1/24 interface=bridge
/ip pool add name=office-pool ranges=192.168.10.100-192.168.10.200
/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.10
/ip dhcp-server add name=office-dhcp interface=bridge address-pool=office-pool lease-time=1d disabled=no

Пул задаёт адреса, network — параметры подсети, сервер связывает их с интерфейсом. Состояние и аренды:

/ip dhcp-server print detail
/ip dhcp-server lease print detail

Резервирование, DNS и клиент на WAN

На вкладке Leases существующую аренду закрепляют через Make Static. Для известного MAC-адреса можно создать запись:

/ip dhcp-server lease add server=office-dhcp address=192.168.10.50 mac-address=02:11:22:33:44:55 comment=printer

Принтер получает параметры автоматически. Замените MAC-адрес своим.

Для использования MikroTik как DNS включают ответы на запросы LAN и настраивают вышестоящие DNS. Доступ с WAN ограничивают. В домене выдают внутренние DNS.

Для получения адреса от провайдера используется другая роль — DHCP-клиент на WAN:

/ip dhcp-client add interface=ether1 add-default-route=yes use-peer-dns=no disabled=no

Здесь ether1 — внешний порт, use-peer-dns=no сохраняет независимо настроенный DNS. Второй клиент на уже настроенном интерфейсе не нужен. Для PPPoE или статического подключения провайдера этот пример не подходит.

Настройка DHCP-сервера в Linux

Для нового полноценного сервера основной вариант — Kea. ISC прекратила сопровождение ISC DHCP в конце 2022 года. Для небольшой автономной сети может быть достаточно dnsmasq.

Kea в Debian и Ubuntu

Пакет IPv4-сервера называется kea-dhcp4-server; версия и срок сопровождения зависят от выпуска ОС и репозитория.

sudo apt update
sudo apt install kea-dhcp4-server

Пусть сервер уже имеет статический адрес 192.168.10.2/24 на enp1s0. Пример /etc/kea/kea-dhcp4.conf:

{
  "Dhcp4": {
    "interfaces-config": {
      "interfaces": ["enp1s0"]
    },
    "lease-database": {
      "type": "memfile",
      "persist": true
    },
    "valid-lifetime": 86400,
    "renew-timer": 43200,
    "rebind-timer": 75600,
    "subnet4": [
      {
        "id": 1,
        "subnet": "192.168.10.0/24",
        "pools": [
          {"pool": "192.168.10.100 - 192.168.10.200"}
        ],
        "option-data": [
          {"name": "routers", "data": "192.168.10.1"},
          {"name": "domain-name-servers", "data": "192.168.10.10"}
        ],
        "reservations": [
          {
            "hw-address": "02:11:22:33:44:55",
            "ip-address": "192.168.10.50"
          }
        ]
      }
    ]
  }
}

Конфигурация обслуживает непосредственно подключённую подсеть; при relay нужно согласовать выбор подсети и маршрутизацию. Параметры описаны в руководстве администратора Kea. Замените интерфейс и MAC-адрес резервирования своими.

Проверьте и запустите службу:

sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf
sudo systemctl enable --now kea-dhcp4-server
sudo systemctl restart kea-dhcp4-server

Проверка -t не доказывает сетевую доступность: после запуска изучите журнал и получение аренды клиентом.

Модуль Kea HA синхронизирует аренды и состояние узлов в режимах балансировки или горячего резерва. Копирование конфигурации HA не создаёт. Для защиты от отказа гипервизора нужны независимые платформы.

ISC DHCP в существующей инфраструктуре

Для уже работающей службы характерен такой фрагмент /etc/dhcp/dhcpd.conf:

default-lease-time 86400;
max-lease-time 172800;

subnet 192.168.10.0 netmask 255.255.255.0 {
    range 192.168.10.100 192.168.10.200;
    option routers 192.168.10.1;
    option domain-name-servers 192.168.10.10;
}

host printer {
    hardware ethernet 02:11:22:33:44:55;
    fixed-address 192.168.10.50;
}

В Debian-подобных системах интерфейсы часто задаются в /etc/default/isc-dhcp-server. Синтаксис проверяют командой sudo dhcpd -t -cf /etc/dhcp/dhcpd.conf.

При миграции переносят диапазоны, опции, исключения, привязки и действующие аренды. Иначе новый сервер может предложить уже занятые адреса. Старый и новый независимые серверы не должны одновременно раздавать общий диапазон.

dnsmasq для небольшой сети

Установите пакет командой sudo apt install dnsmasq. В /etc/dnsmasq.d/office-dhcp.conf можно задать:

port=0
interface=enp1s0
bind-interfaces
dhcp-range=192.168.10.100,192.168.10.200,255.255.255.0,24h
dhcp-option=option:router,192.168.10.1
dhcp-option=option:dns-server,192.168.10.10
dhcp-host=02:11:22:33:44:55,192.168.10.50
log-dhcp

Строка port=0 отключает DNS-функцию, оставляя DHCP: порт 53 не занимается, клиентам передаётся отдельный DNS. У сервера должен быть статический адрес на указанном интерфейсе.

sudo dnsmasq --test
sudo systemctl restart dnsmasq
sudo systemctl enable dnsmasq

Посмотрите и основной /etc/dnsmasq.conf: другие активные настройки могут дополнять этот файл. Не включайте независимую выдачу пересекающихся адресов через dnsmasq и Kea.

Astra Linux и Альт

Руководства Astra Linux описывают Kea; пакеты доступны и в экосистеме Альт. Названия служб, состав пакетов и разрешённые репозитории зависят от выпуска, особенно в сертифицированной среде. Команды установки Ubuntu нельзя переносить в Альт без изменений.

ОБРАТИТЬСЯ К КОНСУЛЬТАНТУ ЗА ПОМОЩЬЮ В ПОДБОРЕ ОБОРУДОВАНИЯ

Имя Телефон Email

Даю согласие на обработку персональных данных

Отправить

Настройка DHCP-сервера в Windows Server

DHCP удобно администрировать вместе с AD и DNS. Для стоечных серверов мощность определяют по общей нагрузке; самой роли DHCP важнее доступность и сохранность аренд.

Установка и авторизация в Active Directory

Назначьте серверу статический адрес и проверьте DNS. Установите роль через Диспетчер серверов → Управление → Добавить роли и компоненты → DHCP-сервер либо PowerShell администратора:

Install-WindowsFeature DHCP -IncludeManagementTools

В доменной среде сервер авторизуют в AD:

Add-DhcpServerInDC -DnsName "dhcp1.ad.example.com" -IPAddress 192.168.10.2
Get-DhcpServerInDC

Замените имя реальным полным именем сервера. Для авторизации нужны соответствующие права; в рабочей группе она не применяется. Порядок развёртывания приведён в инструкции Microsoft Learn.

Авторизация AD регулирует доменные DHCP-серверы Windows, но не блокирует посторонний роутер. Совмещение AD, DNS и DHCP возможно, однако отказ единственного узла затронет все размещённые на нём службы.

Область, исключения и резервирование

Создадим неактивную область, настроим её и затем включим выдачу:

Add-DhcpServerv4Scope -Name "Office" `
  -StartRange 192.168.10.50 -EndRange 192.168.10.200 `
  -SubnetMask 255.255.255.0 -LeaseDuration 1.00:00:00 `
  -State InActive

Add-DhcpServerv4ExclusionRange -ScopeId 192.168.10.0 `
  -StartRange 192.168.10.50 -EndRange 192.168.10.99

Set-DhcpServerv4OptionValue -ScopeId 192.168.10.0 `
  -Router 192.168.10.1 -DnsServer 192.168.10.10

Add-DhcpServerv4Reservation -ScopeId 192.168.10.0 `
  -IPAddress 192.168.10.50 -ClientId "02-11-22-33-44-55" `
  -Description "Printer"

Set-DhcpServerv4Scope -ScopeId 192.168.10.0 -State Active

Адреса .50–.99 исключены из обычной выдачи, .50 зарезервирован за принтером. В Windows резервирование входит в диапазон области и работает внутри исключения. Обычные клиенты получают .100–.200.

Резервирование удобно создавать из аренды, сохраняя верный идентификатор. Доменным компьютерам выдают внутренние DNS; суффикс задают отдельно.

Резервирование службы и перенос

Windows DHCP failover объединяет два сервера для согласованного обслуживания IPv4-областей:

• Балансировка нагрузки: оба узла обслуживают клиентов.
• Горячий резерв: один выполняет основную работу, второй принимает обслуживание в предусмотренных настройкой ситуациях.

Отношение failover создают для области в консоли DHCP. Партнёру нужны роль, связь и авторизация в домене. Между партнёрами учитывают также связность по TCP порту 647.

Аренды синхронизируются автоматически; изменения настроек области, включая резервирование (!), после создания пары нужно реплицировать. При потере связи поведение зависит от состояния пары и таймеров: второй узел не всегда сразу получает весь диапазон. Windows DHCP failover не применяется к DHCPv6.

Для переноса одиночного сервера экспортируйте конфигурацию с арендами:

Export-DhcpServer -ComputerName "dhcp1.ad.example.com" `
  -File "C:\DHCP-Migration\dhcp.xml" -Leases -Force

Создайте каталог заранее. На новом сервере установите роль, перенесите файл и импортируйте его, указав существующий каталог резервного копирования:

Import-DhcpServer -File "C:\DHCP-Migration\dhcp.xml" `
  -BackupPath "C:\DHCP-Migration\Backup" -Leases

В согласованное окно остановите выдачу на старом узле, перенесите актуальные данные и переключите обслуживание на новый. При смене адреса измените назначения relay; старую авторизацию AD удалите после перехода. Для пары failover требуется отдельный порядок миграции с учётом отношений партнёров.

События доступны в журналах DHCP Server в «Просмотре событий», текстовые журналы аудита по умолчанию — в %windir%\System32\Dhcp. Сопоставляйте время, клиента, область и результат выдачи: общий статус службы не показывает состояние каждой подсети.

DHCP на Cisco, Eltex и Huawei

Коммутатор доступа Eltex MES2424. Фото: Eltex.

Синтаксис зависит от семейства и прошивки. DHCP-сервер, клиент и relay — разные роли; поддержка одной не гарантирует наличие остальных. VLAN и интерфейсы должны быть подготовлены.

Cisco IOS XE

По руководству Cisco для IOS XE 17.x базовый фрагмент выглядит так:

configure terminal
ip dhcp excluded-address 192.168.10.1 192.168.10.99
ip dhcp excluded-address 192.168.10.201 192.168.10.254
ip dhcp pool OFFICE
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
 dns-server 192.168.10.10
 lease 1
exit
end

Исключения оставляют диапазон .100–.200. Интерфейс клиентской сети должен иметь соответствующий адрес. Если DHCP ранее отключали, на поддерживаемых платформах его включают через service dhcp. Аренды и пулы смотрят командами show ip dhcp binding и show ip dhcp pool.

Eltex MES и ESR

Для коммутаторов ELTEX уточняйте серию. В примере производителя для MES24xx, MES3400-xx и MES37xx функция привязана к перечисленным моделям и ПО от 10.2.10. Это не общее ограничение всего оборудования Eltex.

Фрагмент для соответствующего синтаксиса MES:

ip dhcp server
ip dhcp pool 1
 network 192.168.10.100 255.255.255.0 192.168.10.200
 lease 1
 default-router 192.168.10.1
 dns-server 192.168.10.10
exit
interface vlan 10
 ip address 192.168.10.1 255.255.255.0

Здесь network содержит начальный адрес диапазона, маску и конечный адрес. VLAN и членство клиентских портов настраиваются отдельно.

На ESR используется другой синтаксис. Основа пула по документации ветки ESR 1.24:

ip dhcp-server
ip dhcp-server pool OFFICE
 network 192.168.10.0/24
 address-range 192.168.10.100-192.168.10.200
 default-router 192.168.10.1
 dns-server 192.168.10.10

Это не полная конфигурация маршрутизатора: нужны адрес интерфейса и разрешение доступа к локальному DHCP в политике межсетевого экрана. Команды MES и ESR не взаимозаменяемы.

Huawei VRP

Пример по документации Huawei для глобального пула:

system-view
dhcp enable
ip pool OFFICE
 network 192.168.10.0 mask 255.255.255.0
 gateway-list 192.168.10.1
 dns-list 192.168.10.10
 excluded-ip-address 192.168.10.1 192.168.10.99
 excluded-ip-address 192.168.10.201 192.168.10.254
quit
interface Vlanif 10
 ip address 192.168.10.1 255.255.255.0
 dhcp select global
quit

Принцип соответствует, в частности, AR300/AR700 V300R023. Сверьте команды со своей моделью; VLAN и порты настройте отдельно. Для пула интерфейса синтаксис отличается.

DHCP в сети с VLAN: relay и option 82

Широковещательный Discover не пересылается маршрутизатором между VLAN. Чтобы центральный сервер обслуживал другие подсети, на их шлюзах включают DHCP relay — агент ретрансляции запросов и ответов.

На Cisco IOS/IOS XE типовой пример:

interface Vlan10
 ip address 192.168.10.1 255.255.255.0
 ip helper-address 192.168.100.10

Сервер 192.168.100.10 должен иметь область 192.168.10.0/24 со шлюзом 192.168.10.1. Выбор области опирается на данные запроса, прежде всего адрес relay в поле giaddr.

Для работы нужны обратный маршрут, разрешённый обмен DHCP и область для каждой клиентской подсети. При выборе коммутаторов в Сервер Молл отдельно учитывайте VLAN, relay и snooping: управляемость сама по себе не гарантирует нужного набора функций.

Опция 82 добавляет сведения о месте подключения — например, порте и сетевом узле. Сервер может использовать их в правилах выдачи. Для обычного relay она не обязательна. Формат и доверие к опции согласуют между устройствами, иначе запросы могут отбрасываться. Шифрования и самостоятельной защиты от чужих серверов она не обеспечивает.

Безопасность: DHCP snooping и чужие серверы в сети

Посторонний DHCP-сервер способен выдать клиентам неправильные шлюз и DNS. Причиной бывает атака, бытовой роутер или тестовая виртуальная машина. Авторизация серверов Windows в AD не заменяет сетевую защиту.

Доверенные и клиентские порты

DHCP snooping фильтрует сообщения на коммутаторе:

• доверенные порты принимают ответы от законного сервера;
• недоверенные клиентские порты блокируют серверные предложения.

Доверие задают по реальному пути ответов. Если оставить законный путь недоверенным, выдача остановится; если доверять всем соединениям, защита потеряет смысл. На многих платформах snooping ведёт таблицу IP, MAC, VLAN и порта, которую используют и другие механизмы защиты. Её сохранение и взаимодействие со статикой зависят от оборудования.

При подозрительных параметрах запишите обмен и найдите источник по MAC-таблицам, учитывая relay. После его отключения неверные настройки сохраняются до обновления аренды.

Исчерпание пула и два сервера

Пул заканчивается из-за недостаточного диапазона, долгих аренд, высокой сменяемости устройств или множества запросов с разными идентификаторами при атаке. Помогают контроль доступа, наблюдение за заполнением и обоснованные ограничения частоты запросов на клиентских портах.

Для двух серверов допустимы две схемы:

• Разделение диапазона, split-scope: независимым узлам выделяют непересекающиеся части. Общей базы аренд нет; при отказе остаётся ёмкость второго узла.
• Failover или HA: узлы согласованно обмениваются состоянием и арендами по правилам своей реализации.

Частые вопросы

Нужен ли DHCP-сервер в небольшой сети?

Для автоматического получения параметров — да, но обычно он уже работает на роутере. Отдельный компьютер не требуется. Ручная адресация возможна, однако параметры придётся поддерживать на каждом устройстве.

DHCP или статический IP?

Рабочим местам удобнее DHCP, принтерам — резервирование, критичным сетевым узлам часто назначают адрес вручную. Статику исключают из динамической выдачи. Способ получения адреса не делает сеть быстрее и не определяет право подключения.

Можно ли держать два сервера?

Да, с согласованным механизмом резервирования или непересекающимися диапазонами. Шлюз и DNS должны быть согласованы. Два независимых одинаковых пула могут вызывать конфликты без явного сообщения об ошибке на серверах.

DHCP и DNS — это одно и то же?

Нет. DHCP выдаёт параметры сети, DNS сопоставляет имена и адреса. Обе службы могут работать на одном узле, но успешное получение аренды не доказывает исправность DNS.

Чем DHCPv6 отличается от SLAAC?

SLAAC позволяет сформировать IPv6-адрес на основе объявлений маршрутизатора. DHCPv6 может выдавать адреса или только дополнительные параметры, если клиент поддерживает соответствующий режим. Используются UDP 546 на клиенте и 547 на сервере. Шлюз по умолчанию обычно определяется объявлениями маршрутизатора, а не DHCPv6, поэтому настройки IPv4 нельзя переносить буквально.

Когда нужен IPAM?

IPAM учитывает подсети, диапазоны, статические назначения, VLAN и ответственных. Он дополняет автоматическую выдачу общей картиной адресного пространства, особенно при нескольких площадках.

Надёжность DHCP зависит от адресного плана, сетевого пути и согласованного резервирования. При сбое прослеживайте обмен от клиента до сервера: это позволяет найти причину без случайных изменений всей сети.