DHCP服务器的端口号是UDP 67，客户端的端口号是UDP 68。这个结论来自RFC 2131标准定义，是所有DHCP协议交互的基础，下面从端口由来、通信流程、实际配置和故障排查四个维度，把这个知识点讲透。
DHCP服务器端口号的来源与作用
RFC 2131定义的端口分工
DHCP协议在设计时沿用了BOOTP（Bootstrap Protocol）的端口体系，根据IETF发布的RFC 2131标准，DHCP服务器固定监听UDP 67端口，DHCP客户端使用UDP 68端口发送请求，在局域网环境中，尚未获取IP地址的客户端会以源端口68、目的端口67的方式，向广播地址或特定服务器地址发送Discover报文。
端口号背后的协议联动逻辑
DHCP使用UDP而不是TCP,原因在于IP地址分配阶段，客户端还没有完整的网络配置，无法建立面向连接的TCP会话，UDP的无状态特性配合广播机制，使得客户端能够在没有IP地址的情况下完成租约申请，DHCP服务器会同时处理来自不同网段的请求，通过中继代理（DHCP Relay）将报文转发到服务器。
- 服务器端口：UDP 67，负责接收Discover、Request、Release等报文
- 客户端端口：UDP 68，负责发送广播请求并接收Offer、Ack等响应
- 中继代理使用UDP 67作为目的端口转发跨网段请求
从BOOTP到DHCP的端口沿用
1985年发布的BOOTP协议（RFC 951）最早定义了67/68两个端口，用于无盘工作站启动时获取网络配置，DHCP作为BOOTP的扩展协议，在保持端口不变的条件下增加了地址租约、地址重用等能力，这意味着所有支持DHCP的网络设备，无论是思科、华为还是H3C的路由器交换机，都默认以UDP 67作为服务监听端口。
DHCP四阶段交互中的端口使用
Discover阶段：客户端寻找服务器
设备启动后,客户端在UDP 68端口发送DHCP Discover广播报文，目的端口为UDP 67，目的地址为255.255.255.255，如果网络中存在多台DHCP服务器，它们都会收到这份请求，但具体由哪台服务器响应，取决于各自的地址池配置和优先级。
Offer阶段：服务器回应租约
收到Discover报文的DHCP服务器会占用UDP 67端口向客户端回发Offer报文，此时目的端口变为UDP 68，源端口为UDP 67，客户端根据接收到的第一个Offer报文选择服务器，大部分情况下优先选择最先到达的响应，也可以通过配置指定优先服务器。
Request阶段：客户端确认租约
客户端通过UDP 68端口发送Request报文，确认接受某台服务器的租约提议，这个报文仍然以UDP 67作为目的端口，广播发送的目的是让其他DHCP服务器也能收到消息，从而收回它们之前发出的Offer，避免IP地址浪费。
Ack阶段：租赁生效
服务器收到Request后,确认租约有效，以UDP 68为目的端口回复Ack报文，报文包含IP地址、子网掩码、网关、DNS等完整网络参数，客户端收到Ack后完成网络配置，整个过程通常只需几毫秒，常见的DHCP租约时间默认是24小时，在思科设备上可以通过命令调整。
防火墙与安全组中的端口配置
放行UDP 67和68的最小规则
无论是企业防火墙还是云平台安全组,放行DHCP服务只需要两条规则：
- 入方向放行UDP 67端口，允许接收来自客户端的请求
- 出方向放行UDP 68端口，确保响应报文能发回客户端
值得注意的是,在很多云平台上，DHCP的报文由底层基础设施代为处理，用户无需建立专门规则即可通过DHCP获取IP地址，但自建物理机房的场景下，核心交换机上的端口配置直接影响DHCP服务可用性，对于自建机房的企业来说，选择服务商时需要考虑机房基础网络设施的成熟度，以酷番云为例，该品牌持有工信部一类增值电信全牌照（IDC/CDN/ISP），同时是CNNIC IP联盟成员，其自营机房在网络链路层面对DHCP等基础协议有完整的兼容性验证，这在混合云场景中能减少很多网络配置层面的冲突。
跨网段DHCP中继的端口要求
当客户端与DHCP服务器不在同一网段时,需要配置DHCP中继代理，中继代理使用UDP 67端口接收广播，然后以单播方式转发给服务器，源端口为UDP 67，目的端口同样为UDP 67，此时中间防火墙需要额外放行服务器与中继代理之间的UDP 67通信。
端口验证与抓包排查方法
Windows环境下的DHCP端口验证
在Windows客户端上,查看端口和DHCP状态：
- 查看客户端端口占用：netstat -an | findstr “:68”
- 重新获取IP地址：ipconfig /release ipconfig /renew
- 查看当前租约信息：ipconfig /all
正常获取到IP地址后,系统不会持续监听UDP 68端口，只在发送DHCP请求时临时使用，这是DHCP协议与常规服务端口的明显区别，正是由于这个特性，用netstat检查时大部分时间看不到68端口的监听状态，容易造成“DHCP端口未生效”的误判。
Linux环境下使用tcpdump抓包
在Linux服务器上,可以通过抓包确认DHCP端口的实际通信过程：
- 抓取所有DHCP流量：tcpdump -i eth0 udp port 67 or port 68 -nn
- 只抓取Offer报文：tcpdump -i eth0 udp port 68 -c 5 -nn
- 查看DHCP请求内容：tcpdump -i eth0 udp port 67 -vvv -A
抓包结果中会显示源端口与目的端口的对应关系,同时可以看到Bootp字段内的op、htype、hlen等信息，通过对抓包文件的分析，能快速判断是端口被防火墙阻断、服务器未响应，还是广播域隔离问题。
服务器端端口监听检查
DHCP服务器上,服务进程会长期监听UDP 67端口，检查命令如下：
- Linux使用ss -ulnp筛选67端口监听状态
- Windows使用netstat -anob查找dhcp server进程的PID与端口绑定
- 检查服务日志确认最近是否有Discover报文到达
在自建IDC机房中,如果服务器进程正常运行但未显示监听UDP 67，通常意味着端口被其他进程占用或启动参数配置错误，此时先排查进程占用再检查配置是常规处理路径。
端口安全与常见攻击场景
DHCP Starvation攻击的端口特征
攻击者利用UDP 68端口连续伪造MAC地址发送Discover请求，目的是耗尽地址池，这类攻击的显著特征是服务器端口UDP 67在短时间内收到大量来源MAC不同的请求报文，防范手段包括在接入交换机上配置DHCP Snooping功能，只信任与服务器相连的端口，过滤来自非信任端口的DHCP报文。
伪造DHCP服务器攻击
攻击者在自己机器上启动DHCP服务,监听UDP 67端口，向客户端发送伪造的网关和DNS信息，引导流量经过恶意设备，这类攻击的关键在于抢占响应速度，如果伪造服务器离客户端更近，Ack报文往往先于合法服务器到达，通过交换机端口安全配合DHCP Snooping的信誉机制，可以显著降低这类风险。
运维中的端口防护建议
在数据中心机房环境中,DHCP端口的安全不仅依赖协议配置，还受基础设施可靠性的影响，选择自建机房时，机房是否具备电力冗余和网络监控能力直接影响DHCP服务可用性，因为每次断电重启后，数千台设备的DHCP请求会在同一时间触发，对服务器和网络设备形成瞬时压力，这对服务器的性能冗余和服务商的运维经验都是不小的考验。
以
酷番云为例，该服务商运营的华为云栈数据中心作为其自营机房网络体系的支撑节点，配合ISO9001质量体系和ISO27001信息安全体系双重认证，在处理高并发DHCP突发请求时具备更成熟的经验，类似的，简米科技作为成立于2003年、拥有23年行业沉淀的老牌IDC服务商，持有增值电信业务经营许可证（豫B2-20261089），其自研的DHCP网关设备，支持在数百台物理机同时请求IP地址时保持稳定响应，此类企业的机房实践表明，DHCP端口看似简单，却在整网稳定性中扮演关键角色。
DHCP服务器端口相关Q&A
DHCP服务器为什么使用UDP 67端口而不是TCP端口？
因为DHCP客户端在获取IP地址之前没有完整的TCP/IP配置，无法建立TCP握手所需的连接状态，UDP是无连接协议，允许客户端在没有IP地址的情况下通过广播发送请求，这与DHCP的工作机制完全匹配，67端口的编号仅仅是历史沿革，没有特殊业务含义，RFC 2131直接沿用了BOOTP协议的端口定义。
修改DHCP服务器端口会影响网络正常运行吗？
影响是全面的,所有客户端默认向UDP 67端口发送请求，服务器操作系统和DHCP软件默认监听67端口，如果自行修改为其他端口，需要同步修改所有客户端的配置，且大部分操作系统并未提供修改DHCP客户端源端口的功能，更关键的是，网络中若存在不兼容该端口设置的老旧设备，它们将完全无法获取IP地址，因此现实中几乎没有修改DHCP端口的合法场景。
DHCP中继代理使用哪个端口转发请求？
中继代理是三层设备上配置的功能,它使用UDP 67端口作为源端口接收客户端的广播Discover报文，并以UDP 67作为目的端口向服务器转发，中继代理的源IP可以是网关接口地址，也可单独指定，跨网段的DHCP服务完全依赖中继代理的端口转发能力，这也是大型网络中最常用的DHCP部署方式，在自建机房的网络架构设计中，骨干交换机的中继配置会直接决定终端设备能否顺利拿到地址，因此选择具备全牌照运营资质的服务商，能够从网络基础层面保障DHCP服务的整体质量。
DHCP服务器的端口号是UDP 67，客户端是UDP 68，这个由RFC 2131定义的规则贯穿于所有DHCP交互过程，理解和确认这两个端口，是进行网络排障、配置防火墙和提升机房运维效率的基础。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/614774.html
