华为S5700交换机如何配置DHCP？详细步骤是怎样的？

在企业网络环境中，动态主机配置协议（DHCP）是网络管理自动化的核心组件之一，它能够自动为网络中的客户端分配IP地址、子网掩码、网关、DNS等关键网络参数，极大地减轻了网络管理员的负担，华为S5700系列交换机作为一款广泛应用的接入层交换机，其强大的功能使其不仅可以作为接入设备，还能在中小型网络中充当DHCP服务器，实现网络地址的集中管理与分发，本文将详细介绍在华为S5700交换机上配置DHCP服务的完整流程、关键命令、验证方法以及相关注意事项。

配置思路与准备工作

在S5700上配置DHCP服务器，核心思路分为三步：全局开启DHCP服务功能；创建IP地址池，并定义地址池中包含的地址范围、网关、DNS等参数；在需要提供DHCP服务的VLAN接口（Vlanif接口）上应用该全局地址池。

在开始配置前，请确保已通过Console口或Telnet/SSH方式成功登录到交换机，并获得了管理员权限（即处于用户视图 <HUAWEI>，可通过 system-view 命令进入系统视图 [HUAWEI]），规划好需要分配的网段、网关地址、可用的IP地址范围以及DNS服务器地址。

详细配置步骤

以下将以一个常见的场景为例进行说明：假设需要为VLAN 10的网段（192.168.10.0/24）提供DHCP服务，网关地址为192.168.10.254，DNS服务器为公共DNS 8.8.8.8 和 114.114.114.114。

全局启用DHCP服务

这是所有DHCP配置的前提,必须在系统视图下执行。

[HUAWEI] dhcp enable

执行此命令后,交换机的DHCP服务功能被激活。

创建全局IP地址池

全局地址池是IP地址的集合,定义了可分配给客户端的所有网络参数。

# 进入系统视图
[HUAWEI] system-view
# 创建一个名为 "vlan10-pool" 的全局IP地址池，并进入地址池视图
[HUAWEI] ip pool vlan10-pool
# 设置客户端的网关地址
[HUAWEI-ip-pool-vlan10-pool] gateway-list 192.168.10.254
# 定义地址池所在的网段和子网掩码
[HUAWEI-ip-pool-vlan10-pool] network 192.168.10.0 mask 255.255.255.0
# 设置DNS服务器地址，可配置多个
[HUAWEI-ip-pool-vlan10-pool] dns-list 8.8.8.8 114.114.114.114
# (可选) 配置IP地址的租期，默认为1天
[HUAWEI-ip-pool-vlan10-pool] lease day 1 hour 0 minute 0
# (可选) 排除部分IP地址，不进行动态分配，通常用于服务器、打印机等静态设备。
[HUAWEI-ip-pool-vlan10-pool] excluded-ip-address 192.168.10.1 192.168.10.10
# 退出地址池视图
[HUAWEI-ip-pool-vlan10-pool] quit

关键参数解释：

配置VLAN接口并应用DHCP

客户端通过某个VLAN接入网络，交换机需要在该VLAN对应的Vlanif接口上启用DHCP功能,并指定使用哪个全局地址池。

# 创建VLAN 10 (如果尚未创建)
[HUAWEI] vlan 10
[HUAWEI-vlan10] quit
# 进入VLAN 10的接口视图
[HUAWEI] interface Vlanif 10
# 为Vlanif接口配置IP地址，此地址即为客户端的网关
[HUAWEI-Vlanif10] ip address 192.168.10.254 255.255.255.0
# 选择从全局地址池中为客户端分配IP地址
[HUAWEI-Vlanif10] dhcp select global
# 退出接口视图
[HUAWEI-Vlanif10] quit

至此，所有核心配置已完成，当VLAN 10内的客户端DHCP请求到达交换机时，Vlanif10接口会捕获该请求，并从名为 vlan10-pool 的全局地址池中选取一个可用IP地址及其他参数,分配给客户端。

配置验证与排错

配置完成后,需要验证DHCP服务是否正常工作。

查看地址池信息：
使用 display ip pool 命令可以查看地址池的配置和使用情况。

[HUAWEI] display ip pool name vlan10-pool used

该命令会显示地址池中已分配的IP地址、对应的MAC地址、租期剩余时间等详细信息,是判断DHCP是否成功分配地址最直接的方法。

查看DHCP服务器报文统计：
通过 display dhcp server packet statistics 命令可以查看DHCP服务器收发的Discover、Offer、Request、Ack等各种报文的数量，如果客户端无法获取地址，可以查看该统计信息,判断是哪个环节的报文没有交互成功。

在客户端验证：
在Windows客户端上，打开命令提示符，执行 ipconfig /release 释放当前IP，再执行 ipconfig /renew 重新获取，随后使用 ipconfig /all 查看是否成功获取到192.168.10.0/24网段的IP地址，以及网关、DNS是否与配置一致。

安全注意事项

在启用DHCP服务的同时，应考虑网络安全性，一个常见的安全威胁是私设DHCP服务器（Rogue DHCP Server），它可能会给客户端分配错误的网关或DNS，导致网络中断或遭受中间人攻击，华为S5700支持DHCP Snooping功能，可以配置为信任特定接口（如连接合法DHCP服务器的接口）的DHCP报文，而丢弃其他非信任接口的DHCP报文,从而有效防范非法DHCP服务器的接入。

相关问答FAQs

问题1：客户端无法从交换机获取IP地址，应该如何排查？

解答： 这是一个常见问题,可以按照以下步骤进行系统性排查：

1. 检查物理连接： 确认客户端电脑的网线已正确连接到交换机的端口,且端口指示灯正常。
2. 检查VLAN配置： 确认客户端所连接的交换机端口已正确划入对应的VLAN（本例中为VLAN 10）。
3. 检查交换机DHCP配置： 回到交换机，使用 display current-configuration | include dhcp 命令检查 dhcp enable 是否已执行，以及Vlanif接口下的 dhcp select global 配置是否正确。
4. 检查地址池： 使用 display ip pool name [pool-name] 命令查看地址池，确认地址池中是否还有可用IP，以及 excluded-ip-address 配置是否过大,导致无可用地址。
5. 检查客户端防火墙： 暂时关闭客户端的本地防火墙或第三方安全软件，防止其阻止DHCP报文（UDP端口67、68）。
6. 使用调试命令： 在交换机上开启 debugging dhcp packet 命令，实时查看DHCP报文的交互过程，可以精确定位问题出现在Discover、Offer、Request还是Ack阶段。

问题2：基于接口的DHCP（dhcp select interface）和基于全局地址池的DHCP（dhcp select global）有什么区别？

解答： 两者主要区别在于配置的灵活性和适用场景：

• 基于接口的DHCP (dhcp select interface)：配置方式更为简单，直接在Vlanif接口下配置 dhcp select interface，然后配置 dhcp server ip-list 或 dhcp server dns-list 等，这种方式下，该接口只能为自身所在的网段分配IP地址，配置与接口强绑定,适用于网络结构非常简单的单网段环境。
• 基于全局地址池的DHCP (dhcp select global)：这是更常用、更灵活的方式，它将地址参数的定义（在 ip pool 视图下）与接口的应用（在Vlanif接口下）分离开来，一个全局地址池可以被多个Vlanif接口引用（如果它们在同一个网段，虽然不常见），更重要的是，它使得IP地址资源的管理更加集中和清晰，适用于多网段、需要集中管理或规划更复杂的网络环境，对于大多数企业应用场景,推荐使用基于全局地址池的方式。