為什麼需要 DHCP？
- 靜態 IP 管理痛點：200 台電腦手工配置需 3.5 小時，易輸錯、難變更、IP 衝突隱蔽 (雙方同時在線才發現)、竊用 IP 風險。
- DHCP 優勢：秒級全網自動分發、集中管理 IP 池/網關/DNS/WINS、租約機制動態回收、參數變更單點生效、支援 PXE/無人值守部署。
DHCP 協議核心流程 (DORA 四階段)
- Discover (發現)：客戶端廣播 `DHCP Discover` (UDP 68→67)，尋找服務器。
- Offer (提供)：服務器單播/廣播 `DHCP Offer`，含 IP/掩碼/租期/選項 (網關/DNS/WINS)。
- Request (請求)：客戶端廣播 `DHCP Request` (含 `Server Identifier` 選中特定服務器)，正式請求租約。
- Acknowledge (確認)：服務器單播 `DHCP ACK` 確認租約生效，或 `DHCP NAK` 拒絕 (IP 已分配/網段不匹配)。
續租：T1 (50% 租期) 單播請求續租 → ACK 續成功；T2 (87.5% 租期) 廣播尋找任意服務器續租；租期滿 → 釋放 IP 重新 Discover。
Windows Server 2003 部署實戰 (2000 類同，含授權步驟)
1. 服務器靜態 IP 配置 (前置條件)
IP: 192.168.1.10
Mask: 255.255.255.0
Gateway: 192.168.1.254
DNS: 202.106.196.115, 202.106.0.20
WINS: 192.168.1.2 (如有)
2. 安裝 DHCP 服務
控制面板 → 添加/刪除程序 → 添加/刪除 Windows 組件 → 網絡服務 → 勾選 **「動態主機配置協議 (DHCP)」** → 下一步完成。
3. 授權 DHCP 服務器 (域環境必須)
DHCP 管理控制台 (`dhcpmgmt.msc`) → 右鍵根節點 → **「管理授權的服務器」** → **「授權」** → 輸入服務器名/IP → 確認綠色箭頭圖標 (授權成功)。
*工作組環境無需授權，但強烈建議加域統一管理。*
4. 創建作用域
- 右鍵服務器節點 → **「新建作用域」** → 下一步。
- 名稱：`WNT`；描述：`Head Office LAN`。
- IP 範圍：`192.168.1.100` - `192.168.1.199` (留 .1-.99 給靜態設備/服務器/打印機)。
- 排除範圍：按需添加 (如 `.150-.160` 留給特定設備)。
- 租約期限：默認 8 天 (可改 3-7 天，移動設備多建議短租期)。
- 暫不配置選項 (選「否，稍後配置」) → 完成 → 右鍵作用域 → **「激活」**。
5. 配置作用域選項 (核心參數下發)
| 選項代碼 | 名稱 | 示例值 | 說明 |
|---|
| 003 | Router (默認網關) | 192.168.1.254 | 必須，否則客戶端無法出網 |
| 006 | DNS Servers | 202.106.196.115, 202.106.0.20 | 按優先級順序，建議 ≥2 台 |
| 015 | DNS Domain Name | corp.example.com | 單標籤域名易致解析異常，建議 FQDN |
| 044 | WINS/NBNS Servers | 192.168.1.2 | 僅舊版應用/NetBIOS 需要 |
| 046 | WINS Node Type | 0x8 (H-node 混合) | 優先廣播查詢，失敗再問 WINS |
| 051 | Lease Time (秒) | 604800 (7天) | 覆蓋作用域級租期，精細控制 |
操作：右鍵作用域 → 「作用域選項」 → 「配置選項」 → 勾選上述代碼 → 填值 → 添加 → 確定。
6. 客戶端驗證
C:\> ipconfig /all
# 確認：DHCP Enabled = Yes, DHCP Server = 192.168.1.10, Lease Obtained/Expires 正常
C:\> ping 192.168.1.254 # 網關
C:\> ping www.baidu.com # DNS 解析+外網
7. 服務端查看租約
DHCP 控制台 → 作用域 `WNT` → **「地址租約」** → 列出所有已分配 IP、MAC、租期、狀態 (活躍/過期/保留)。
高級特性 (生產環境建議啟用)
- DHCP 故障轉移 (Failover)：熱備份/負載分擔 (Server 2012+ 原生支援，2003 需第三方/腳本)。
- 名稱保護：防止非 Windows 客戶端註冊同名 DNS 記錄 (需 DNS 整合)。
- 策略型分配：根據 MAC OUI/用戶類別/供應商類別 發放不同選項 (如 VoIP 話機獲取特定 TFTP 服務器選項 066/150)。
- NAP 整合：健康策略檢查 (防毒/補丁/防火牆) 通過才發放完整 IP，否則進受限網絡 (補丁/隔離 VLAN)。
- 日志審計：`%SystemRoot%\System32\Dhcp\DhcpSrvLog-*.log` 記錄所有租約事件，接入 SIEM 分析異常分配/耗盡/漏洞利用。