故障現象：10 台新電腦全軍覆沒，舊電腦卻一切正常
單位 80 台電腦域環境，DC 內建 DHCP 服務。新採購 10 台電腦安裝系統、設定參數後**全部無法加入域**。檢查新機 ipconfig /all 發現：
- IP：
169.254.10.11（APIPA 自動私有位址）
- 遮罩：
255.255.0.0
- **無網關、無 DNS、無 DHCP 服務器位址**
明顯**未從 DHCP 取得租約**。但舊電腦全正常，DHCP 服務器服務運行正常。
定位：手動設靜態 IP 能上網 → 鎖定 DHCP 服務端配置問題
為新機手動配置正確靜態 IP/網關/DNS → **立即能上網、加入域**。證明：客戶端軟硬體、物理連線、網路基礎設施均無問題，**癥結在 DHCP 服務器配置**。
元兇：地址池被「幽靈 MAC」佔滿，租約期限設成「無限期」
登入 DHCP 管理主控台檢查：
- 地址池範圍：
10.176.1.20 - 10.176.0.110（約 90 個可用位址）。
- **所有位址均顯示「已租用」，且租約到期時間為「無限期/永不過期」。**
- 早期集中更換過一批網卡，**舊網卡 MAC 仍佔著位址不釋放**。
新電腦上線發送 DHCP Discover，服務器無可用位址 → 不回應 Offer → 客戶端落回 APIPA（169.254.x.x）。
解決：清理租約、設定合理租期、建立 IP 管理台帳
- DHCP 主控台 → 刪除所有現有租約記錄。
- 屬性 → 租約期限改為 **預設 8 天**（或依業務 1-7 天），**絕不設「無限期」**。
- 啟用 **衝突偵測**（
Conflict detection attempts = 2），服務器發送 Ping/ARP 確認位址未被佔用才分派。
- 建立 **IP 位址管理台帳**（Excel/IPAM 工具）：記錄靜態分配、DHCP 保留、排除範圍、設備 MAC、位置、負責人。
- 定期匯出租約清單核對，發現長期未續租/異常 MAC 即時清理。
操作完成後，10 台新電腦重啟網卡或 ipconfig /renew，**全部順利取得正確 IP、加入域、上網正常**。
進階防護：DHCP Snooping + IP Source Guard + DAI
- 接入交換機啟用 DHCP Snooping：僅信任上聯/伺服器埠，其餘埠僅允許 DHCP Request 通過，阻擋偽 DHCP 服務器。
- 綁定 IP Source Guard：依 Snooping 資料庫動態生成每埠允許的 IP/MAC，防止 IP 偽裝。
- 啟用 Dynamic ARP Inspection (DAI)：驗證 ARP 封包來源 IP/MAC 與 Snooping 資料庫一致，阻斷 ARP 欺騙。
核心教訓：DHCP 看似「設好就不管」，實則是**位址資源的守門人**。**租約期限合理化、定期清理殭屍租約、接入層防偽裝** 三劍合璧，才能讓新設備順利「入網」。