ICH3000做DHCP SERVER,下挂vlan 2用户经常获取不到IP

ICG3000 做 DHCP Server，VLAN2 终端经常拿不到 IP 完整排查方案
一、先分 2 种组网场景判断
场景 1：ICG3000 三层子接口单臂，Trunk 透传 VLAN2（最常见）
ICG 子接口封装 VLAN2，本地做 DHCP Server；终端广播 DHCP Discover 到 ICG 子接口，由 ICG 分配地址。
场景 2：下游交换机三层 Vlanif2 做 DHCP 中继，指向 ICG3000
交换机 VLAN2 网关配置中继，把 DHCP 请求转发给 ICG。
二、五大高频故障根因（按排查优先级）
1. VLAN2 地址池耗尽 / 大量僵尸 IP（夜间高发）
验证命令（ICG 执行）
plaintext
display dhcp server statistics pool VLAN2_POOL
display dhcp server ip-in-use pool VLAN2_POOL
display dhcp server conflict all
现象：
Used 数量接近 Total，无空闲地址；
大量长期离线终端占用 IP（手机、摄像头、打印机不主动释放租约）；
存在大量 IP 冲突（终端静态 IP 与 DHCP 地址池重叠）。
修复配置
plaintext
system-view
# 开启过期IP自动回收，15分钟清理僵尸地址
dhcp server garbage-collect interval 15
dhcp server expired-action release
# 开启地址冲突检测，冲突地址自动回收
dhcp server conflict-detect enable
# 扩容地址池起始/结束范围
ip pool VLAN2_POOL
network 192.168.2.0 mask 255.255.255.0
2. 单臂子接口 / Trunk 转发异常，DHCP 广播报文丢包
典型坑
ICG 连接交换机的上联 Trunk 未允许 VLAN2 通过；
子接口未封装 VLAN2、未配置对应网段 IP；
下联交换机端口环路、广播风暴，DHCP Discover 广播被淹没丢弃；
交换机开启dhcp snooping，但上联 ICG 端口未配置dhcp snooping trust，DHCP Offer 报文被拦截。
交换机侧修复
plaintext
interface GigabitEthernet 1/0/24 # 连ICG端口
port link-type trunk
port trunk permit vlan all
dhcp snooping trust
# 下联接入口抑制广播风暴
interface range GigabitEthernet 1/0/1 to 1/0/20
storm-control broadcast level 50
3. ICG 安全策略拦截 UDP 67/68（DHCP 端口）
ICG 默认域间策略拦截内网 DHCP 双向报文，终端发 Discover 到 ICG，但 ICG 回复 Offer 被安全策略丢弃。
放通 DHCP 策略模板
plaintext
security-policy ip
rule 10 name Allow_DHCP
source-zone trust
destination-zone local
service udp port eq 67
service udp port eq 68
action pass
rule 11 name Allow_DHCP_Reply
source-zone local
destination-zone trust
service udp port eq 67
service udp port eq 68
action pass
4. DHCP 租约、网关 / 网段配置错误
地址池network网段与 VLAN2 子接口 IP 不在同一网段，ICG 拒绝分配；
地址池未配置gateway-list，终端收到 IP 但无法完成完整 DHCP 握手；
租期设置过长（24h 以上），离线设备长期占用地址；建议设置 4h。
plaintext
ip pool VLAN2_POOL
gateway-list 192.168.2.1
lease day 0 hour 4 minute 0
5. Option 82 干扰（交换机插入 Option82，ICG 拒绝分配）
下联交换机开启 DHCP Snooping 自动插入 Option82，ICG 未兼容处理，直接丢弃带 Option82 的 DHCP 请求。
两种解决方式
交换机下联口关闭 Option82（推荐）
plaintext
interface range GigabitEthernet 1/0/1 to 1/0/20
dhcp snooping information disable
ICG 全局兼容 Option82
plaintext
dhcp server information trust enable
三、快速定位故障的排查命令
查看地址池占用、冲突
plaintext
display dhcp server statistics
display dhcp server conflict all
display dhcp server ip-in-use pool VLAN2_POOL
查看 ICG 子接口 VLAN2 状态
plaintext
display subinterface brief
display ip interface brief
查看 DHCP 报文收发统计（确认是否收到终端请求）
plaintext
display dhcp server packet statistics
查看安全策略是否拦截 DHCP 报文
plaintext
display security-policy statistics rule name Allow_DHCP
四、最简排查顺序
查地址池：是否耗尽、大量冲突、僵尸 IP，开启自动回收；
查交换机 Trunk 与 DHCP Snooping 信任口，放行 VLAN2；
ICG 放通 UDP67/68 安全策略；
关闭下联口 Option82 或 ICG 开启信任 Option82；
优化租约时长、扩容地址池网段。

VLAN 2 的用户经常获取不到 IP，通常由地址池枯竭、IP 地址冲突、DHCP 中继问题、接口配置错误或网络环路等原因导致。

建议你按以下步骤从简到繁逐一排查：

📝 第一步：检查地址池与冲突

这是最常见的原因，可以先从这里开始。

1. 检查地址池是否耗尽：登录 ICG3000，执行 display dhcp server ip-in-use 命令，查看 VLAN 2 对应地址池的 IP 分配情况。如果 used 数量接近地址池总数，说明地址不够用，需要扩大地址池范围。

2. 检查是否存在大量地址冲突：执行 display dhcp server conflict 命令。如果看到很多冲突记录，说明内网存在其他设备占用这些 IP（如其他 DHCP 服务器、静态 IP 设备、或 ARP 攻击）。冲突的地址会被服务器标记并保留一段时间（可能超过一小时）。如果冲突太多，可以临时执行 reset dhcp server conflict 清理，但 需要根除冲突源头。

3. 检查是否有地址被排除：执行 display current-configuration | include dhcp server forbidden-ip，检查是否有 IP 被误加入了禁止分配列表。

⚙️ 第二步：排查 DHCP 配置问题

确认地址池没问题后，再检查配置细节。

1. 确认 DHCP 服务全局开启：执行 display dhcp server status 或 display current-configuration | include dhcp enable，确认 dhcp enable 命令存在。

2. 确认 VLAN 2 的接口配置：

   • 如果 ICG3000 是 VLAN 2 的网关：

     1. 进入 VLAN 2 接口视图，执行 display this 确认接口下是否配置了 dhcp server apply ip-pool [地址池名称]。

     2. 确认 VLAN 2 接口的 IP 地址（网关地址）与 DHCP 地址池的 gateway-list 配置完全一致。并且地址池的 network 网段也需包含该网关 IP。

   • 如果 ICG3000 不是 VLAN 2 的网关：需要在 VLAN 2 的网关上配置 DHCP 中继，指向 ICG3000 的 IP 地址。

3. 检查接口是否 UP：执行 display interface Vlan-interface 2，确认状态为 UP。

🌐 第三步：检查网络环境

1. 检查是否存在环路：环路可能导致广播风暴，使 DHCP 报文无法正常交互。检查交换机 STP（生成树协议）状态，或暂时关闭疑似环路的端口测试。

2. 检查是否存在其他 DHCP 服务器：在内网抓包，过滤 bootp 或 dhcp，看是否有多个 DHCP 服务器响应。

3. 检查安全策略或广播抑制：

   • 检查交换机端口是否开启了 802.1X 认证或 MAC 地址过滤，导致 DHCP 报文被拦截。

   • 检查交换机上是否配置了过低的广播抑制阈值，这可能会错误地丢弃 DHCP 的广播报文。

🚨 第四步：定位故障点（抓包）

如果以上方法都无法定位，最有效的手段是进行镜像抓包。

• 在 ICG3000 的内网口抓包：看在 VLAN 2 的终端请求 IP 时，ICG3000 是否收到了 DHCP Discover 报文，以及是否发出了 DHCP Offer 和 DHCP Ack。

• 在终端侧抓包：看在终端和接入交换机之间，DHCP 的四个交互报文（Discover, Offer, Request, Ack）是否完整。

接终端的接口配置边缘端口看一下