交换机上配置DHCP服务器是可行的，但真正能直接提供DHCP服务的通常是三层交换机或更高档位的设备，二层交换机默认不提供这项功能。如果你手里只有一台普通二层交换机，想在它上面“开”DHCP服务，那基本做不到它的硬件和系统压根没设计这个模块，下面我会把交换机配置DHCP服务器的方法、适用场景以及最容易踩的坑都拆开讲清楚。
哪些交换机能配DHCP服务器，哪些不能
搞清楚这个问题,能帮你少走不少弯路。
二层交换机：只负责转发，不负责“发地址”
二层交换机工作在OSI模型的数据链路层，核心任务是转发数据帧、维护MAC地址表，它不处理IP层的数据包，所以既不能提供DHCP服务，也无法配置DHCP服务器功能，如果你在网上看到有人用二层交换机“配置DHCP”，那多半是指开启了DHCP Snooping（DHCP嗅探），这是用来做安全防护的，跟“搭建DHCP服务器”完全是两码事。
三层交换机：企业网络里最常见的DHCP服务器担当
三层交换机具备路由功能，可以处理IP层的数据包，因此能直接配置DHCP服务器，为终端分配IP地址，业内专家指出，在企业园区网络里，用三层交换机做DHCP服务器是主流做法，因为它比独立服务器更省成本，也比路由器更灵活,而且相当一部分中小企业的核心交换机都承担着这个职责。
无线路由器：“交换机配DHCP”的另一种错觉
很多家用无线路由器其实内置了交换机芯片，但大家习惯叫它“路由器”，它的DHCP功能默认是开启的，登录后台就能改地址池，如果你只是想让家里或小办公室的设备自动获取IP，用无线路由器就够了,不需要单独折腾交换机。
华为交换机配置DHCP服务器的实操步骤
华为交换机在企业市场占有率很高，下面以华为三层交换机为例，给你一套完整的配置流程，其他品牌（比如H3C、Cisco）的命令略有差异,但思路是一样的。
配置前要确认三件事：
- 交换机工作在三层模式（默认支持,VLANIF接口就是三层接口）
- 已经规划好VLAN和网段
- 能登录交换机的命令行界面（Console口或SSH都行）
全局地址池和接口地址池，选哪个
华为交换机支持两种DHCP地址池,它们的使用场景有明确区别：
| 对比项 | 接口地址池 | 全局地址池 |
|---|---|---|
| 适用范围 | 只能给某个VLAN接口下的主机分配 | 可以跨网段分配，配合中继使用 |
| 配置复杂度 | 简单，几行命令搞定 | 稍复杂，需要指定网关和DNS |
| 推荐场景 | 单VLAN的小网络 | 多VLAN、需要跨网段分配的大网络 |
多数情况下，初学者用接口地址池更顺手,下面是接口地址池的完整配置命令：
system-view
dhcp enable
interface vlanif 10
ip address 192.168.10.1 255.255.255.0
dhcp select interface
dhcp server dns-list 8.8.8.8 114.114.114.114这段命令的意思是：在VLANIF 10这个三层接口上启用DHCP服务，让交换机把192.168.10.0/24这个网段的地址自动分配给终端，顺带把DNS也下发下去，地址池的范围就是192.168.10.2到192.168.10.254，默认自动分配,不用手动指定排除范围。
全局地址池配置，适合多VLAN场景
如果你的网络里有两个以上VLAN，而且不想每个VLANIF都配一遍，可以用全局地址池，先创建地址池,再绑定网段：
system-view
dhcp enable
ip pool vlan10_pool
network 192.168.10.0 mask 255.255.255.0
gateway-list 192.168.10.1
dns-list 114.114.114.114
interface vlanif 10
ip address 192.168.10.1 255.255.255.0
dhcp select global这里把192.168.10.0/24的地址池绑定到VLANIF 10，注意有个容易忽略的步骤：如果VLANIF接口打算用dhcp select global，那VLANIF的IP地址必须和地址池的网关一致,否则终端能拿到地址却上不了网。
跨VLAN分配：必须配DHCP中继
很多新手在这里翻车，比如你有VLAN 10和VLAN 20，DHCP服务器配在VLAN 10的三层交换机上，VLAN 20的主机发DHCP广播请求时，三层交换机默认不会转发这种广播到其他VLAN，这时候需要在VLAN 20的网关接口上配置DHCP中继：
interface vlanif 20
ip address 192.168.20.1 255.255.255.0
dhcp select relay
dhcp relay server-ip 192.168.10.1没有这步，VLAN 20的设备永远拿不到IP地址，行业共识认为,跨VLAN的DHCP中继配置是三层交换机使用中最容易出错的环节之一。
验证配置是否生效
配置完别急着走,用下面几条命令检查：
display dhcp server：查看全局DHCP服务是否已开启display ip pool：查看地址池使用情况（已分配、剩余地址数量）display dhcp server statistics：查看DHCP报文收发统计，能直观看到有没有客户端在请求
思科和H3C交换机的配置差异
很多人问我“华为能不能换成思科的命令”，这里给你做个快速对照，思科交换机配置DHCP是全局配置模式,和华为有差异但逻辑相通。
思科的接口地址池配置如下：
interface vlan10
ip address 192.168.10.1 255.255.255.0
ip dhcp pool vlan10_pool
network 192.168.10.0 255.255.255.0
default-router 192.168.10.1
dns-server 8.8.8.8注意思科是先进入接口，再用ip dhcp pool创建地址池，全局地址池和接口地址池的区分没华为那么严格，H3C的配置则更接近华为，命令风格都是dhcp enable加上dhcp select interface这类写法。
加一道安全锁：DHCP Snooping必须开启
配置完DHCP服务器，有一件重要的事容易被忽略开启DHCP Snooping。
如果网络里有非法设备私接了一台无线路由器，它的DHCP服务会自动分配错误的网关和DNS，导致全办公室断网,这一层防护直接在交换机上做：
system-view
dhcp snooping enable
interface gigabitethernet 0/0/1
dhcp snooping enable
dhcp snooping trusted把上联口设为trusted（信任口），其他口都保持默认的untrusted（非信任口），这样只有信任口能回应DHCP报文，其他接口的伪造DHCP响应会被交换机直接丢弃,终端获取到的IP地址就都是可信的。
常见问题排查思路
如果你配置完了，终端还是拿不到IP，别慌,按顺序检查这四个地方：
- 接口是否开启三层功能，很多二层交换机没有VLANIF接口，硬配了
dhcp select interface会报错,同一个网段里得有具备三层路由能力的设备来回应请求。 - VLANIF接口IP和地址池网关是否一致，不一致时客户端能拿到地址但通信不通，现象是“有IP但上不了网”。
- DHCP中继有没有配对端口，跨VLAN场景下,客户端所在VLAN的网关接口必须指向DHCP服务器的真实IP。
- 终端的防火墙或安全软件是否拦截了DHCP响应，这个容易被忽略,排查网络问题时建议先临时关掉终端防火墙测试一下。
几个进阶建议
如果你打算在生产环境长期使用交换机做DHCP服务器,下面几条经验值得记住：
- IP地址租期建议设成8小时或12小时，太短会增加广播流量，太长会导致IP回收慢,地址池容易被占满。
- 给需要固定IP的设备（比如打印机、门禁主机）配置静态绑定，在地址池里用
static-bind ip-address mac-address把IP和MAC绑定,避免地址被改动。 - 日常运维中保存配置时使用
save命令，并定期备份配置文件，一台上线几年的交换机如果配置丢失,恢复起来相当麻烦。 - 如果你想把DHCP服务迁移到独立服务器或防火墙设备上，三层交换机只需关闭接口上的
dhcp select，再把VLANIF接口的地址保留即可,迁移成本不高。
Q&A：交换机配置DHCP服务器常见疑问
交换机配置DHCP服务器和路由器配置DHCP服务器有什么区别？
路由器（尤其是家用路由器）内置的DHCP服务功能较多、配置界面友好，但性能有限，适合小型网络，三层交换机的DHCP服务支持更大的地址池、支持多VLAN的地址分配，也具备更强的安全防护能力（如DHCP Snooping），配置需通过命令行完成,企业网络通常优先选择三层交换机。
二层交换机配不了DHCP，那它能做什么？
二层交换机可以做DHCP Snooping的接入层防护，也可以配置VLAN划分广播域，配合上层三层交换机或DHCP服务器做地址分配，它无法生成IP地址，但能通过DHCP Snooping保证发到终端设备的上网地址是安全的,不会让非法DHCP服务器干扰你的网络环境。
交换机做DHCP服务器时DNS应该填什么？
内网如果没有自建DNS服务，直接填运营商提供的DNS或公共DNS，比如114.114.114（国内主流选择）或8.8.8（Google DNS），内网自建DNS的话可以让交换机下发内网DNS地址，便于解析内部域名,但需要保证这台DNS服务器的稳定性和性能。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/773204.html
