检查下dhcp空余情况，接口配置情况

没问题的话就debug 分析下了

看看是不是要多次插拔网线/重置网口，才能获取地址，如果是的话，可以在终端接口配置stp edged-port enable加快stp收敛速度

交换机：部分终端能拿到 DHCP 地址、部分终端获取失败

现象：同一 VLAN，一部分终端正常拿到 IP；另一部分一直 169.254.x.x，获取不到 DHCP 地址。下面按出现概率从高到低梳理根因、排查命令。

1、DHCP 地址池资源问题（最高概率）

1）地址池可用 IP 耗尽，已全部租出去，新终端分不到地址，老的已经租到的终端正常使用。

• 看free‑ip空闲地址；查看conflict冲突 IP 数量。
• 大量冲突：网络存在静态 IP 设备，DHCP 探测判定 IP 占用不再分配；建议 dhcp server ping packets 0关闭 ping 冲突检测，改用 ARP 探测。
• 租约时间太长，终端下线地址不回收；可以缩短租约；执行reset dhcp server ip‑in‑use pool xxx回收旧租约。

2、DHCP‑Snooping 配置问题（接入交换机常见）

开启dhcp‑snooping之后，上联 / 指向 DHCP 服务器的端口没有配置dhcp‑snooping trust。

现象：部分报文被丢弃，随机部分终端收不到 Offer/ACK 报文，不是全部终端故障H3C。

• 连接 DHCP 服务器 / 向上联核心的接口必须配置：

⚠️如果同时开启 IPSG，snooping 绑定表打满，新终端也拿不到地址。

3、接入端口层面问题（部分端口下终端拿不到）

• 故障端口 PVID 错误、端口没有划入正确业务 VLAN；
• 端口安全port‑security限制最大学习 MAC 数量，达到上限丢弃新终端 DHCP 报文；
• 802.1X/MAC 认证开启，未认证前阻断 DHCP 报文；
• 端口环路、网线 / 光模块异常，部分报文丢包。

4、DHCP 中继场景故障（跨 VLAN 获取地址）

如果核心做 DHCP Relay 中继：

1. 业务 VLANIF 接口下配置dhcp select relay，并且正确指定dhcp relay server‑ip x.x.x.x；
2. 交换机和 DHCP 服务器三层路由可达；
3. 注意：DHCP‑Snooping 设备不要放在中继和 DHCP 服务器中间，giaddr 非 0 会丢包，造成部分终端异常H3C。

5、网络存在私接小路由器（二级路由）

终端下私接家用路由器，私路由器的 DHCP 服务，会抢回复部分终端，出现有的终端拿到正确地址、有的拿到私路由器分配的错误网段 IP。 排查：看终端拿到的网关、DNS 是否为规划的地址。

6、ACL / 包过滤拦截 UDP 67、68 端口

中间设备 ACL 拒绝 UDP 67、68，部分报文丢弃。

7、交换机本地做 DHCP 服务器检查要点

1. 全局dhcp enable必须开启；
2. Vlan‑if 接口 IP 必须和地址池 network 网段完全一致；
3. 地址池配置正确 gateway‑list、dns‑list，排除网段excluded‑ip‑address配置合理。

快速定位调试（业务窗口操作）

简短排查顺序总结

1. 先看 DHCP 地址池：空闲 IP、冲突 IP、租约占用；
2. 检查接入交换机 DHCP‑snooping，上联口是否配置 trust 信任端口；
3. 对比故障终端所在端口：VLAN/PVID、port‑security、802.1X 配置；
4. 排查是否私接二级路由器；
5. 中继场景检查 relay 配置与路由；检查 ACL 是否拦截 UDP67/68。

交换机DHCP出现部分终端能获取、部分获取不到的情况，通常不是DHCP服务完全失效，而是地址池资源、网络环路或接入侧配置等环节出现了局部问题。可以按照以下思路逐层排查。

 第一步：检查DHCP地址池状态

这是最可能的原因。地址池可能已耗尽，或者存在大量无效占用。

• 检查地址池使用率：在交换机上执行 display dhcp server pool 或 display dhcp server ip-in-use，重点查看 Used（已用）和 Available（可用）地址数量。如果可用地址为0或很少，说明地址池已满，新终端自然无法获取IP。

• 检查“僵尸”占用：执行 display dhcp server expired 查看是否有已过期但未回收的地址。同时，检查 display arp 表，确认地址池中的IP是否被一些已经不在线的设备长期占用。如有必要，可以手动释放这些无效地址：reset dhcp server ip-in-use ip <IP地址>。

• 检查冲突地址：执行 display dhcp server conflict，查看是否有大量地址被标记为冲突。如果冲突地址过多，会耗尽可分配的IP资源，导致新终端无法获取地址。

• 检查租期设置：如果租期过长（如默认的1天），终端离线后地址无法及时回收，会导致地址池“假性耗尽”。可以考虑将租期适当缩短（如设为2-4小时），加快地址回收速度。

 第二步：排查网络环路（你提到的“环路检测”）

你提到的“环路检测”是导致此问题的常见原因。网络环路会引发广播风暴，大量消耗交换机的CPU和带宽资源，导致DHCP报文（特别是广播报文）无法被正常处理和转发，从而造成部分终端获取不到地址。

• 检查STP状态：在所有交换机上执行 display stp brief，查看是否有端口处于 BLOCKING 状态。如果连接终端的端口被STP阻塞，该端口下的终端将无法收发DHCP报文。

• 配置边缘端口：建议将连接终端的接入端口配置为边缘端口（stp edged-port），避免因STP收敛导致的DHCP获取延迟或失败。

• 环路排查工具：可以在交换机上执行 display loopback-detection 查看是否检测到环路，或通过观察端口流量是否异常增大来判断。

 第三步：检查DHCP Snooping与安全策略

如果网络中开启了DHCP Snooping，配置不当也会导致部分终端无法获取IP。

• 信任端口配置：DHCP Snooping的上行端口必须配置为信任端口（dhcp snooping trust），否则从该端口收到的DHCP Offer和ACK报文会被丢弃，导致终端无法获取地址。

• Option 82配置：如果配置了Option 82，其“使能状态”和“信息格式”需要与DHCP服务器匹配，错配会导致部分终端无法获取IP或获取到异常IP。

• 私接DHCP服务器：如果网络中有人私接路由器开启了DHCP服务，终端可能从非法的DHCP服务器获取到错误网段的IP，导致无法正常上网。开启DHCP Snooping可以有效阻断非信任端口的DHCP Offer。

 第四步：检查VLAN与端口配置

• 端口VLAN划分：确认无法获取IP的终端所连接的端口，是否已正确划分到目标VLAN中。如果端口未划分VLAN或划分错误，DHCP请求无法到达正确的地址池。

• Trunk放行VLAN：检查交换机之间的Trunk链路，确保DHCP服务器所在的VLAN已经在该Trunk链路上放行。

• VLAN接口DHCP使能：检查DHCP服务器所在VLAN的接口下是否配置了 dhcp select server 命令。如果缺少此配置，DHCP请求无法被服务器处理。

 第五步：高级排查与日志分析

如果以上检查均正常，可以通过以下方式深入排查：

• 查看DHCP调试日志：执行 debugging dhcp server all（注意：调试命令会影响性能，建议在业务低峰期使用），观察DHCP交互过程中是否有报错信息，如“No free IP”等。

• 检查DHCP进程状态：如果怀疑DHCP进程异常，可以查看系统日志中是否有 DHCPS 相关的错误记录。

• 检查MAC地址表：有案例显示，接入交换机的MAC地址表满会导致其无法正常转发DHCP Discover报文，从而造成终端无法获取IP。