扩一下dhcp吧 

地址没了

DHCP 地址池仅单个 IP，大量非法终端请求，持续报 “没有空闲的合法地址可分配”

场景说明：全部合法设备依靠 DHCP 静态绑定（静态地址池）；动态地址池只写了单个 IP（xx.23‑xx.23），专门不给外来设备分配地址。员工私带娱乐设备拿到 WiFi 密码，不停发 DHCP 请求，设备反复打印这条系统 error 日志。

1、报错根源

H3C DHCP 服务器逻辑：

• 静态绑定（static‑bind）只针对匹配的特定 MAC 生效；
• 不匹配静态绑定的 MAC，会去动态地址池拿 IP。你动态池只留 1 个 IP，外来设备过来申请，动态池耗尽，于是不停弹出这条报错日志。

静态绑定不会消耗动态池地址，外来陌生 MAC 不走静态绑定，只会消耗动态地址池。

2、长期大量刷屏日志，对设备有没有影响

1）业务转发层面：不会断网，不影响合法终端上网，不会占用转发性能。 2）负面影响： ①系统日志被大量相同错误日志刷屏，真正重要告警会被淹没，排查故障时很难看到有用日志。 ②高频写日志，会占用设备日志缓冲区、存储 Flash，长时间高频冲刷，会加速日志文件轮转。 ③日志持续上送到日志服务器（如果配置 loghost），会产生大量无效日志流量。

不建议放任一直刷，虽然不会直接宕机，但运维隐患很大。

3、4 种调整方案（按推荐优先级）

方案 A：配置 DHCP 地址排除，动态池不提供可用 IP（最优）

不要把动态池配置成仅 1 个 IP。配置一个网段的地址池，然后把全部地址全部排除出去，动态池没有可分配地址。

效果：合法设备依靠 static‑bind 静态绑定正常获取 IP；陌生 MAC 申请地址，直接拒绝，不会报 “无空闲地址” 这条错误，而是报地址被拒绝，日志不再疯狂刷屏。

配置思路：

整个网段全部排除，动态没有可分配 IP；静态绑定不受 excluded‑ip 影响，静态绑定依旧正常下发 IP。

方案 B：无线侧做 MAC 地址过滤（从源头阻止非法设备接入，适合 WiFi 场景）

既然是私带娱乐设备连 WiFi： AC 上配置 SSID 的 MAC 接入控制，仅允许办公设备 MAC 接入。

非法设备连 WiFi 直接拒绝，根本不会走到 DHCP 请求这一步，彻底消除日志。 缺点：新增办公设备需要维护 MAC 白名单。

方案 C：调整日志级别，屏蔽这条 DHCP 报错（治标不治本，不优先推荐）

如果暂时不想改 DHCP 配置，可以把该类告警降级，不再输出 error 级别日志。

⚠️只是看不见报错，DHCP 拒绝报文还在处理，不能根治，只适合临时应急。

方案 D：保留现有配置，但是开启 DHCP 拒绝日志抑制

部分 V7 版本支持日志抑制，对重复相同日志做抑制，避免短时间重复刷屏，但是依旧会少量输出日志。

4、重要误区澄清

1. ❌误区：静态绑定 MAC 的设备会占用动态地址池。 ✅事实：static‑bind 静态绑定不占用动态地址池地址，只有非绑定的陌生 MAC 才访问动态地址池。
2. ❌误区：动态地址池不能全部 exclude，会导致静态绑定失效。 ✅事实：excluded‑ip‑address仅针对动态分配；DHCP 静态绑定不受排除地址限制，可以正常分配绑定 IP。

5、如果你暂时不改配置，放任报错会怎样

• 合法办公设备上网完全不受影响；
• 但是日志被大量垃圾告警覆盖，后续真实故障容易被淹没；日志服务器存储被大量无效日志占满。

不建议长期放任，建议优先采用方案 A 修改地址池 + 全部排除地址。

补充：无线 Portal/802.1X 场景额外思路

如果支持认证，不依靠 DHCP 拦截，终端连接 WiFi 后必须账号认证才能获取地址，未认证终端无法发起 DHCP 请求，也可以解决。

知了社区原提问链接：https://zhiliao.h3c.com/questions/catesDis/35