Windows Server 的 DHCP 服务负责给终端分配 IP 地址、子网掩码、网关和 DNS。完成部署不能只看角色安装成功：先确认网段和现有发号设备，固定服务器地址，再完成域授权、地址池及选项配置，最后用一台试点电脑核对租约与实际业务访问。下面以一个全新、隔离的办公测试网段为例，从图形界面逐步配置。
本文依据 Microsoft 官方文档整理操作示例，面向初级网络工程师。主线使用 Windows Server 2022 Desktop Experience 图形界面版和一台 Windows 11 有线客户端，不涉及现网 DHCP 迁移、故障转移或交换机配置替换。界面名称会随补丁与语言略有不同，文中同时给出主要英文名称。
一、先划清范围：什么时候可以照着做？
适合的场景是：准备一台新的 DHCP 域成员服务器，为一个已经规划好的独立 IPv4 子网分配地址。已有 AD 域与内部 DNS，交换机上的测试端口、服务器网卡和客户端都在同一个测试 VLAN 中。VLAN 是二层网络的逻辑划分；地址写在同一网段，不代表两个端口就一定属于同一 VLAN。
如果办公室路由器、防火墙或另一台服务器已经给这个网段分配地址，先停止本教程的上线步骤。不要为了“试一下”在同一广播域启动第二个独立地址池，也不要未经变更窗口就关闭旧设备 DHCP。新旧租约如何迁移是单独的割接任务。初学者应使用与现网隔离的测试 VLAN 或独立实验交换网络。
本例只部署一台服务器，所以它仍有单点故障风险。双机 DHCP Failover 需要另行规划；复制一套相同地址池到另一台机器并同时启动，不等于高可用。Microsoft 的 DHCP 功能说明区分了地址分配、AD 授权与故障转移，三者不能互相替代。
动手前需要准备的材料
- 一台完成更新、许可与备份安排的 Windows Server 2022 图形界面服务器，已加入现有 AD 域。服务器名称与固定地址提前确定。
- 本机管理员权限用于安装角色；AD 中的 DHCP 授权由 Enterprise Admins 成员或已获得相应目录写入委派的账号执行。本机管理员身份不自动拥有林级 DHCP 授权权限，授权后切回日常管理账号。
- 一台可本地操作的 Windows 11 测试电脑、一根正常网线及确认过 VLAN 的交换机端口。不要用当前唯一的远程管理连接测试断开网卡。
- 经负责人确认的地址规划表、现有 DHCP 清单、内网 DNS 与网关地址、测试资源名称、回退人和维护窗口。没有旧配置记录，就先不要改变终端设置。
如果还没有完成域和内部 DNS，先按企业 AD 域部署攻略把基础环境补齐。本文不要求把 DHCP 装在域控制器上，示例使用独立域成员服务器。
二、把地址规划写清楚，别在向导里临时决定
以下全部是示例值。实际部署前逐项替换，尤其不能把示例 DNS、域名或网关直接填进客户网络。
| 项目 | 本例值 | 填写前需要确认 |
|---|---|---|
| 子网与掩码 | 10.20.30.0/24，255.255.255.0 | /24 表示前 24 位属于网络部分；本例可用主机地址是 .1 至 .254 |
| 测试 VLAN | VLAN 30 | 是已配置好的端口归属，不是在 DHCP 向导里填一个编号就能创建 |
| 默认网关 | 10.20.30.1 | 网关接口确实存在，且负责该网段出站路由 |
| 内部 DNS | 10.20.30.10、10.20.30.11 | 两台都必须真实提供内部域解析；只有一台就只填一台 |
| DHCP 服务器 | DHCP1，10.20.30.20 | 静态地址，不在动态分配范围内，且未被占用 |
| AD DNS 域名 | corp.example.com | 使用现有 AD 域，不要为部署 DHCP 随意另建域 |
| 作用域名称 | Office-VLAN30 | 名称帮助识别用途，不决定交换机 VLAN |
| 分配范围 | 10.20.30.100 至 10.20.30.199 | 首尾包含在内，共 100 个地址 |
| 排除范围 | 10.20.30.100 至 10.20.30.119 | 20 个地址不参与普通动态分配，供已经登记的静态用途或后续规划 |
| 预约地址 | 10.20.30.150 | 在分配范围内，计划给指定打印机网卡，创建前确认空闲 |
| 租期 | 8 天 | 本例的规划值；按设备流动、容量和维护安排评估，不是所有企业的统一推荐值 |
“作用域”是 DHCP 管理一个子网地址及选项的配置集合；“地址池”是其中可参与分配的范围。排除用于避免把一段地址当普通租约发出去，保留则把指定地址关联到某个客户端标识。保留地址对应的设备仍应配置为自动获取地址。
这套规划有 100 个范围内地址，减去 20 个排除地址，再减去 1 个保留地址，普通客户端最多使用 79 个未保留地址。这是规划算例，实际可用数还要扣除已经占用或存在问题的租约。不要把整台服务器、交换机和所有基础设施都混进未登记的动态范围。Microsoft 作用域规划说明了范围、排除、租期和保留的关系。
图：本例地址分区及容量算例，图形长度不代表地址数量比例。基础设施规划区不表示其中每个地址都已使用；网络地址 .0 与广播地址 .255 不分配给普通主机。可点开原图放大查看。
三、先固定服务器网卡，再安装 DHCP 角色
1. 记录并检查服务器网络设置
在服务器管理器的“本地服务器”页面，点击以太网连接，进入网络适配器列表。也可以从“控制面板 → 网络和共享中心 → 更改适配器设置”进入。识别连接测试网段的那张网卡，打开“属性 → Internet 协议版本 4（TCP/IPv4）→ 属性”。
填写本例服务器地址 10.20.30.20、掩码 255.255.255.0、网关 10.20.30.1，以及实际存在的内部 DNS 10.20.30.10 和 10.20.30.11。先保存原配置记录，再点确定。多网卡服务器不要把每张网卡都随意填同一个默认网关；网关选择由既有路由设计决定。
完成后重新打开连接“状态 → 详细信息”，核对 IPv4、掩码、网关和 DNS。服务器本身应使用已规划的固定地址，而不是等待它自己的 DHCP 服务分配。若远程连接中断，先通过控制台恢复原配置，不要继续安装来碰运气。
2. 在服务器管理器安装角色
打开“服务器管理器 → 管理（Manage）→ 添加角色和功能（Add Roles and Features）”。选择“基于角色或基于功能的安装”，在目标服务器页确认机器名称确实是 DHCP1。角色页勾选“DHCP 服务器”，接受添加所需管理工具，再依次检查功能页、角色说明页和确认页，最后安装。
安装结果应显示成功。这个角色通常不要求为安装本身重启服务器；如果向导显示其他功能或待处理更新需要重启，以当前系统提示和维护安排为准，不在业务时段盲目重启。官方安装向导提供了图形界面安装与配置入口。
3. 完成安装后配置，并核对授权
点击服务器管理器右上角通知旗标，选择“完成 DHCP 配置（Complete DHCP configuration）”。查看安全组创建及 AD 授权的摘要，使用获准执行授权的身份完成提交。授权失败不是“点过确定就算结束”。
在 DHCP1 上打开“服务器管理器 → 工具 → 计算机管理 → 本地用户和组 → 组”，确认出现 DHCP Administrators 与 DHCP Users。前者用于获准的 DHCP 管理，后者用于只读查看，不能把只读成员身份当作改配置权限。按企业审批分配日常账号的组成员资格；目录授权权限与这些本机组权限是两回事。
接着在“计算机管理 → 服务和应用程序 → 服务”中找到 DHCP Server，检查服务处于运行状态、启动设置符合部署基线。组未创建、日常账号不能打开控制台或服务未运行时，停在这里，请有权限的管理员检查安装后配置和事件日志，不用长期开着企业管理员账号绕过问题。
然后打开“服务器管理器 → 工具 → DHCP”，确认连接的是 DHCP1。需要手动授权时，在服务器节点上右键选择“授权（Authorize）”，等待片刻后刷新。若菜单显示“取消授权”，通常意味着已有授权记录，但仍要核对服务器名称、IP 和事件日志，不能仅凭图标判断全部正常。
授权涉及 AD 中的目录记录，并依赖域连接与权限。出现授权失败、红色状态或系统事件 1046 时，先查域 DNS、到域控的连通性、时间与授权身份；不要反复删除目录对象、解除加域或关闭防火墙。Microsoft 授权故障指南列出了权限、目录记录、连接和复制问题等原因。
AD 授权也不是全网防伪 DHCP 开关。它不会自动阻止所有路由器、Linux 服务或个人热点发地址；交换机侧的 DHCP Snooping 等防护需要独立设计。
四、创建作用域：先完成参数，暂不激活
在 DHCP 控制台展开 DHCP1，右键“IPv4 → 新建作用域（New Scope）”。按下面的字段顺序配置，先保留未激活状态。
| 向导页面 | 本例填写内容 | 下一步前的检查 |
|---|---|---|
| 作用域名称 | Office-VLAN30，描述写明测试用途与负责人 | 名称和描述不含账号密码 |
| IP 地址范围 | 起始 10.20.30.100，结束 10.20.30.199，长度 24，掩码 255.255.255.0 | 两个端点都在 10.20.30.0/24 内，没有写成另一网段 |
| 添加排除和延迟 | 10.20.30.100 至 10.20.30.119，点击“添加” | 已出现在排除列表中，未只填文本框就翻页；延迟无明确需求保持默认 |
| 租约期限 | 8 天，小时与分钟按本例为 0 | 容量与终端数量已估算，租期不是解决地址冲突的补丁 |
| 配置 DHCP 选项 | 选择现在配置 | 下一节会检查 003、006、015 |
| 路由器（默认网关） | 10.20.30.1，点击“添加” | 列表中确实出现该地址 |
| 域名称和 DNS 服务器 | 域 corp.example.com；DNS 10.20.30.10 和真实存在的 .11 | 没有混入公共 DNS 或不存在的第二台 DNS |
| WINS 服务器 | 环境没有 WINS 就跳过 | 不为消除空白而随便填写 DNS 地址 |
| 激活作用域 | 选择稍后激活 | 保留最后一次上线前复核机会 |
完成后，控制台应出现这个作用域。展开“地址池（Address Pool）”，检查分配范围和排除范围；再打开“作用域选项（Scope Options）”，核对以下三项。
- 003 Router：客户端跨网段通信使用的默认网关。本例为 10.20.30.1，不能填 DHCP 服务器 .20。
- 006 DNS Servers：客户端用于名称解析的 DNS 列表。本例使用内部域 DNS；公共 DNS 通常没有企业 AD 区域，不能把“能上网”当作“能找到域控”。
- 015 DNS Domain Name：连接的 DNS 后缀，本例为 corp.example.com。下发后缀不等于自动加域，也不等于 DNS 动态更新一定成功。
修改时右键“作用域选项 → 配置选项（Configure Options）”，勾选对应编号并保存。初学阶段把这三个值明确配置在本作用域，避免误把“服务器选项”中的设置当成本作用域实际下发值；若已有策略、保留级选项或继承配置，还需要检查最终覆盖关系。
五、检查网卡绑定，再让第一台客户端领地址
1. 激活前最后核对四件事
确认测试网段不存在另一个未经协调的 DHCP；作用域范围和排除无误；DNS 与网关是真实地址；服务器监听的是通向本测试网段的接口。在 DHCP 控制台服务器节点右键菜单中找到“添加/删除绑定（Add/Remove Bindings）”时，核对勾选的 IPv4 接口；不同系统版本的入口可能略有差别。
多网卡或虚拟机要同时核对网卡、虚拟交换机、VLAN 与服务器管理网的对应关系，不能凭“以太网 2”这类名称猜测。角色安装后保留与实际部署匹配的 Windows 防火墙 DHCP 规则，不通过关闭整台服务器防火墙来验收。发现接口不明或安全策略阻断，先请网络负责人确认。
2. 激活新作用域
四项核对完成后，右键本次新建的 Office-VLAN30 作用域，选择“激活（Activate）”。这一步才允许新作用域正式发放租约。只激活本次作用域，不操作其他已经存在的作用域或服务器授权状态。
初次获取地址通常经历 Discover、Offer、Request、ACK 四步，也称 DORA：客户端寻找服务器，服务器提供候选地址，客户端提出请求，服务器确认租约。后续续租不一定重新走完整四步，图示只表示同子网的首次分配过程。
图：同一子网首次租约交互，箭头表示消息方向，不代表逐步实测抓包。跨 VLAN 需要经过正确配置的 DHCP Relay/IP Helper，单纯新建更多作用域不会让广播自动穿过路由器。图中协议名称对应 Discover（发现）、Offer（提供）、Request（请求）、ACK（确认）。
3. 只在一台可本地操作的试点电脑上启用自动获取
先记下 Windows 11 试点网卡原来的 IP、DNS 与是否为手工配置，再接入已确认的测试端口。进入“设置 → 网络和 Internet → 以太网”，把“IP 分配”改为“自动（DHCP）”，并把“DNS 服务器分配”改为“自动”。如果当前版本的设置入口不同，使用“控制面板 → 网络和共享中心 → 更改适配器设置 → 对应网卡属性 → IPv4 属性”，分别选择自动获取 IP 和 DNS。
等待连接更新，再打开该网卡“状态 → 详细信息”。本地操作且允许短暂断线时，可以只禁用、启用这台试点网卡以触发重新连接；已有有效租约可能被复用，这不保证立即换成另一个地址。不要在远程连接所依赖的网卡上做这个动作，不批量重启员工电脑。
若显示 169.254 开头的自动私有地址，说明没有拿到可用的普通 DHCP 租约，不能算部署成功。先检查服务、授权、作用域和本机链路，别给全公司手工写静态地址掩盖问题。
六、验收必须两边对应：客户端详情与服务器租约
一台电脑能打开网页，可能是旧租约、原有手工地址或其他 DHCP 服务器在起作用。下面这些记录要互相对应，才说明本次发号链路符合规划。
| 检查位置 | 本例预期 | 不符合时先做什么 |
|---|---|---|
| 客户端网卡详细信息 | DHCP 已启用；IPv4 在允许范围；掩码 255.255.255.0 | 先确认操作的网卡及自动获取设置 |
| 客户端 DHCP Server 字段 | 10.20.30.20 | 出现别的地址就暂停扩容，查既有发号设备或端口归属 |
| 客户端网关与 DNS | 网关 .1；DNS 为真实的内部 .10、.11 | 核对 003、006 与客户端是否还保留手工 DNS |
| 客户端租约取得/到期时间 | 属于本次检查且能合理对应租期 | 避免把未更新的详情窗口或其他网卡记录当结果 |
| DHCP 控制台 → 地址租约 | 客户端 IP 和唯一标识对应这张网卡；租约有效 | 刷新列表，核对 MAC/客户端标识及实际 DHCP 服务器 |
| 已知内网资源 | 使用负责人提供的完整域名访问测试资源，名称及应用访问分别成功 | 拿到 IP 但解析失败，按 DNS 路径排查；HTTP/共享权限问题独立处理 |
| 获准的出站目标 | 在允许出网的环境访问指定目标 | DHCP 不会自动建立 NAT、路由或放行防火墙策略 |
验收时在变更记录中保存脱敏后的网卡详情和租约记录，不公开客户设备名、内部域名或全部 MAC 清单。域资源解析有异常时，参考加域前的 DNS 检查，不要把公共 DNS 当作 AD DNS 的替代品。
成功标准是“拿到了本服务器发出的正确租约，参数正确，实际需要的资源可用”。DNS 动态注册、加域、打印权限、文件共享权限和互联网访问都各有前置条件，不能因为 DHCP 已确认租约就一并写成通过。
七、给打印机做地址保留，认准真正发请求的网卡
打印机想长期使用同一地址，有两种不同做法：设备里手工写静态 IP，或让设备自动获取并在 DHCP 上建立保留。本文演示后者。不要在打印机里固定一个地址，同时又不在地址规划和 DHCP 中登记。
已经正常领取租约的设备，可在 DHCP 控制台“作用域 → 地址租约”中找到对应记录，核对网卡标识后右键“添加到保留（Add to Reservation）”。这种方法保留的是当前租约的 IP，不会自动变成规划中的 .150。
如果必须使用本例的 10.20.30.150，先确认它没有被其他租约、现有保留或静态设备占用，再在“保留（Reservations）”节点右键“新建保留（New Reservation）”。填写易识别名称、10.20.30.150、该打印机当前连接网卡的真实 MAC 地址和用途描述；仅使用 DHCP 的普通设备可选择相应 DHCP 类型。MAC 从设备网络状态页或已核实的租约记录获取，不能填整机序列号或管理人员电脑的地址。
确认打印机 IP 获取方式为自动后，在允许短暂断线的窗口触发设备重新连接，并重新核对设备状态页与服务器租约。已有租约未更换时先按设备与租约流程诊断，不直接删除其他人的租约来腾位置。
实拍来源：Solomon203，Intel EXPI9301CTBLK 网卡照片，CC BY-SA 4.0，已缩放并转为 WebP，非本文现场照片。本图说明保留关联的是客户端网络接口身份，不是推荐此型号；照片本身不提供可照抄的 MAC 地址。
同一台电脑的有线、无线、扩展坞网卡可能有不同 MAC。无线随机硬件地址也可能影响依靠 MAC 的保留，初次试点建议固定使用同一块有线接口。
保留地址必须落在作用域配置的分配范围内，不能因为 .50 与 .150 都属于同一个 /24，就把 .50 当成本例合法的保留地址。Microsoft 的保留地址边界说明还指出，Windows 中落在排除范围内的有效保留仍可工作；排除不是禁止指定保留客户端使用的安全规则。本例把 .150 放在非排除部分，是为了让初次规划更直观。
八、出现异常时，按停止条件处理
| 现象 | 优先核对 | 本轮停止门槛 |
|---|---|---|
| 未授权或出现事件 1046 | AD 授权身份、域 DNS、到域控连接及系统日志 | 授权未解决就不进入客户端推广 |
| 客户端 169.254 地址 | 链路、正确 VLAN、服务、绑定及作用域激活 | 同子网试点未领到正确租约，不加入更多终端 |
| 地址正确但 DHCP Server 不对 | 网段是否已有路由器或其他服务器发号 | 暂停新作用域并查清来源，不让两个独立地址池继续竞争 |
| 地址租约显示 BAD_ADDRESS | 是否存在未排除的静态地址或冲突 | 保留证据，停止扩大发放；不把删除 BAD_ADDRESS 当修复 |
| 同子网正常，跨 VLAN 失败 | Relay/IP Helper、到服务器的路径与策略 | 本教程不直接改三层设备，转交网络负责人 |
| 新保留没有生效 | 实际网卡标识、设备获取方式、旧租约与目标地址占用 | 不通过批量清租约或全网重启强行生效 |
可以在“事件查看器 → Windows 日志 → 系统”按 DHCP 相关事件筛选；系统提供对应通道时，再查看“应用程序和服务日志 → Microsoft → Windows → DHCP-Server”。记录准确时间、服务器与试点设备对应关系，避免只截一张红色图标就定性根因。官方 DHCP 排查清单包含服务、授权、容量、绑定、客户端与中继检查。
已出现地址冲突或复杂中继问题时，转到企业 DHCP 地址冲突排查继续定位。本文不重复展开抓包和现网冲突处理，也不建议关闭 DHCP Snooping 等保护机制来试通网络。
九、保存配置与回退：停发地址不等于撤销已有租约
第一轮验收完成后，先在 DHCP1 本机准备一个专用、按日期区分的受控备份文件夹。通过文件资源管理器的驱动器属性确认可用空间，再在文件夹“属性 → 安全”检查访问权限。由管理员按实际操作账号及 DHCP 服务身份配置备份所需权限，不直接给 Everyone 完全控制，也不要猜一个服务账号照抄权限。
在 DHCP 控制台的 DHCP1 服务器节点右键选择“备份（Backup）”，选择刚准备的 DHCP1 本地目录。即使从另一台电脑远程管理，也不能把管理电脑自己的同名文件夹当成服务器备份路径。不要覆盖默认目录或唯一的历史可用副本。
操作结束后检查是否报告成功、有无错误，并在 DHCP1 对应文件夹中核对备份文件实际生成及修改时间。目录不存在、权限不足、空间不足或没有产生本次文件时，记录备份失败，停止交付，不把点击过“备份”当作完成。确认本机备份后，再按企业备份流程复制一份到受控的异机存储，核对副本可读。
记录服务器版本、作用域、范围、排除、保留、选项和备份时间；备份包含内部网络信息，不放入公开网盘。
备份文件存在不代表已经完成恢复演练。不要随意使用“还原”覆盖当前租约数据库；涉及更换 DHCP 服务器时，参考Microsoft DHCP 迁移文档，重新设计新旧服务器、授权、租约与回退顺序。
本例为独立新建环境，发现参数发错时先右键本次 Office-VLAN30 作用域并“停用（Deactivate）”，停止继续发放及续租该作用域的地址。不要停掉同服务器上的其他业务作用域，也不要撤销整台服务器的授权来代替单作用域回退。
已经领取租约的客户端不会因为停用作用域而立即清空 IP、网关或 DNS。 在本地控制台按先前记录恢复试点终端设置，必要时在获准的维护窗口重新连接并确认其配置来源；关闭测试作用域不是现网自动回滚机制。
保留失败时只回退本次创建的保留与试点设备配置，核对地址是否仍有有效租约后再决定释放用途。现网迁移不能简单恢复旧 DHCP 就结束，因为新旧租约可能重叠；这超出本教程的独立部署范围。
交接给下一位工程师的最小清单
- 服务器名称、版本、固定 IP、实际接口与 VLAN，账号仅写权限职责，不写密码。
- 作用域名称、分配范围、排除、保留、租期及 003/006/015 的实际值。
- 试点网卡、DHCP Server 字段、租约记录与内网资源验证结果，敏感信息放受控记录。
- 备份位置、异机副本、恢复负责人、维护窗口和仍未验收的事项。
- 扩大部署的批准条件与退回测试状态的方法；没有高可用就明确单点风险。
常见问题
DHCP 必须安装在域控制器上吗？
不必。本文用独立域成员服务器演示。是否共用域控要结合规模、权限、备份与服务依赖评估，不能因为向导能安装就认为合并部署最合适。
地址分配成功，为什么不能加域？
先看 006 下发的是不是企业内部 DNS，再核对域名、时间和到域控的通信。DHCP 不会自动修复 AD 区域、创建域或完成加域。
已经选了自动获取 DNS，为什么还有错误 DNS？
确认检查的是当前连接网卡，再检查作用域选项、服务器继承、策略或保留级覆盖，以及客户端手工设置与租约更新。不要一边改多个位置，一边只凭浏览器能否访问来判断。
修改作用域选项会立即更新全部电脑吗？
不会保证立即生效。终端通常需要后续租约交互才获得新参数，也可能存在本机手工配置。先让一台可本地恢复的试点验证，不批量断网催更。
有多个 VLAN，建多个作用域就够了吗？
不够。每个子网的地址规划、路由、Relay/IP Helper、安全策略和服务器返回路径都要一致。先完成同子网验证，再单独设计跨 VLAN 部署。
相关解决方案
需要把地址规划、交换端口、VLAN 和网关一起交付时，可结合企业网络设备与交换路由方案划清网络侧与服务器侧职责。
相关阅读
如需协助规划 DHCP 部署，可以先提供脱敏的网段数量、现有发号设备、域与 DNS 情况，以及允许变更的时间窗口，便于评估实施范围。