华为DHCP relay实战：多VLAN互通与灵活划分配置指南

1. 华为DHCP relay应用场景解析

在企业网络架构中，多VLAN环境下的IP地址分配一直是个让人头疼的问题。想象一下，一个中型企业有市场部、技术部和财务部三个部门，每个部门都需要独立的网络隔离，但又要求能够互相访问共享资源。这时候，华为交换机的DHCP relay功能就能大显身手了。

我去年给一家连锁零售企业部署网络时就遇到过类似场景。他们总部有5个部门，分布在3层楼，每个部门都需要独立的VLAN。如果给每个VLAN单独配置DHCP服务器，不仅管理麻烦，还浪费资源。使用DHCP relay后，只需要一台核心交换机就能搞定所有VLAN的地址分配，维护起来特别方便。

DHCP relay的工作原理其实很简单，就像个快递中转站。当接入层交换机的客户端发出DHCP请求时，relay会把这个请求"打包"转发给远端的DHCP服务器，再把服务器返回的地址信息"配送"给客户端。整个过程对客户端完全透明，感觉就像直接和DHCP服务器通信一样。

2. 实验环境搭建与基础配置

2.1 网络拓扑设计

我们先来看一个典型的三层网络架构：

• 核心层：华为S5700系列交换机作为DHCP relay
• 汇聚层：两台S3700交换机负责VLAN接入
• 接入层：多台PC设备分属不同VLAN

这个架构最大的优势是扩展性强。比如市场部新增了10台电脑，只需要在接入交换机上把对应端口划入市场部VLAN就行，核心配置完全不用动。我经手的一个项目从最初3个VLAN扩展到12个VLAN，核心交换机配置只增加了9条vlanif接口命令。

2.2 DHCP服务器配置

首先配置路由器作为DHCP服务器。这里有个小技巧：地址池的网关一定要和后续vlanif接口地址一致，否则客户端能获取IP但无法通信。我曾经就踩过这个坑，排查了半天才发现是网关配置错了。

# 启用DHCP服务 dhcp enable # 创建VLAN2地址池 ip pool VLAN2 network 10.10.0.0 mask 24 gateway-list 10.10.0.254 dns-list 8.8.8.8 # 创建VLAN3地址池 ip pool VLAN3 network 10.10.1.0 mask 24 gateway-list 10.10.1.254

注意：实际项目中建议配置DNS和租期参数，我一般设置租期为7天，既不会导致IP频繁变更，又能在人员变动时及时回收地址。

3. 核心交换机DHCP relay配置详解

3.1 基础中继配置

核心交换机SW1的配置是关键中的关键。这里最容易出错的是忘记配置到DHCP服务器的静态路由，导致relay无法转发请求。有一次项目验收时遇到这个问题，后来发现是路由下一跳写错了。

# 创建DHCP服务器组 dhcp enable dhcp server group r1 dhcp-server 10.0.0.1 # 配置VLANIF接口 interface vlanif1 ip address 10.0.0.2 24 # 配置VLANIF2中继 interface vlanif2 ip address 10.10.0.254 24 dhcp select relay dhcp relay server-select r1

3.2 VLAN间互通实现

很多工程师不明白为什么vlanif接口地址要设成地址池网关。其实这就是实现VLAN间互通的核心原理。当VLAN2的PC访问VLAN3的PC时，数据包会先到10.10.0.254，再通过三层路由转发到10.10.1.254。

有个客户曾经问我："为什么不用单臂路由？"我的回答是：当VLAN数量超过5个时，DHCP relay方案更易于管理。而且华为交换机的硬件转发能力，完全不用担心性能问题。

4. 接入层交换机实战配置

4.1 Trunk链路配置

SW1与SW2/SW3之间的Trunk配置要注意allowed vlan的范围。有次割接时因为漏配了一个VLAN，导致新部门电脑无法上网。现在我养成了个好习惯：配置完用display port vlan命令反复检查。

# 核心交换机SW1配置 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 2 3 # 接入交换机SW2配置 interface Ethernet0/0/1 port link-type trunk port trunk allow-pass vlan 2 3

4.2 接入端口划分

接入层配置虽然简单，但最容易出问题。建议先在测试环境用少量端口验证，再批量配置。我开发了个小脚本，可以自动检查端口VLAN划分情况，大大提高了部署效率。

# 将端口划入指定VLAN interface Ethernet0/0/2 port link-type access port default vlan 2 interface Ethernet0/0/3 port link-type access port default vlan 3

5. 常见问题排查指南

5.1 地址获取失败排查

遇到PC无法获取IP时，我通常按照这个顺序排查：

1. 检查物理链路：端口灯是否正常
2. 检查VLAN配置：display vlan查看VLAN是否存在
3. 检查DHCP报文：在核心交换机用debugging dhcp relay查看报文交互
4. 检查路由可达性：ping测试DHCP服务器地址

去年处理过一例奇葩故障：客户新买的网线质量不达标，导致DHCP报文丢失。更换网线后立即解决问题。所以现在我的工具箱里常备各种长度的优质网线。

5.2 VLAN间通信故障

如果VLAN间无法互通，重点检查：

1. vlanif接口状态：display ip interface brief
2. 路由表：display ip routing-table
3. 防火墙策略：display current-configuration | include acl

有个案例让我记忆深刻：客户配置了ACL但忘记应用，结果所有VLAN间通信都被阻断。现在我做任何配置变更都会先备份配置，并记录变更内容。

6. 进阶配置技巧

6.1 地址池优化建议

对于大型网络，我推荐这些优化措施：

• 按部门划分地址池，便于管理
• 预留20%的地址冗余
• 为打印机等固定设备配置静态分配

# 静态地址绑定示例 dhcp static-bind ip-address 10.10.0.100 mac-address 5489-98b1-0f24

6.2 安全加固方案

DHCP relay也需要安全防护：

1. 启用DHCP snooping防止伪造服务器
2. 配置端口安全限制MAC数量
3. 定期检查地址池使用率

在金融行业项目中，我还会额外配置802.1X认证，确保只有授权设备才能接入网络。这些措施组合使用，能有效防范内网攻击。