故障现象描述
在日常网络维护中，常遇到一种看似矛盾的现象：网络拓扑正常，核心交换机与汇聚层链路均无告警，部分用户却能正常上网，而另一部分用户却无法获取IP地址，或获取到的IP为169.254.x.x（APIPA地址），导致完全断网。由于故障仅影响部分终端，往往容易被误判为客户端网卡驱动或操作系统问题。然而，当多个终端集中出现此类情况时，通常指向网络基础设施层面的配置错误或资源瓶颈。
排查思路与逻辑框架
面对此类故障，遵循“由简入繁、由末端到核心”的排查原则至关重要。我们需要确认故障是孤立的个案还是批量事件，进而判断是终端配置问题、接入层交换机问题，还是DHCP服务器端的问题。
第一步：确认故障范围与IP分配状态
首先，在受影响的终端上打开命令行工具（CMD或PowerShell），执行 ipconfig /all。观察IPv4地址栏：
- 若显示 169.254.x.x 且子网掩码为 255.255.0.0，说明终端已发送DHCP请求但未收到响应，自动配置了链路本地地址。
- 若显示 0.0.0.0，则可能处于DHCP Discover阶段，未收到Offer。
- 若显示有效IP但无法上网，则不属于本题讨论的“无法获取IP”范畴，需另行排查网关或路由问题。
同时，登录DHCP服务器，检查“作用域统计”信息。查看当前租约数量是否已满。如果地址池已耗尽，新终端将无法获取IP，这是最常见的原因。
第二步：检查接入层交换机配置（关键步骤）
当DHCP服务器地址池充足且其他终端正常时，故障点极大概率位于接入层交换机。现代企业网络中，交换机对DHCP报文的管理机制可能导致部分端口被拦截。
1. DHCP Snooping 过滤机制
DHCP Snooping 是一种安全特性，用于防止非法DHCP服务器注入。它会监控DHCP交互过程，将非信任端口（Untrusted Port）收到的DHCP Offer/ACK报文丢弃。
排查命令（以Cisco/Huawei为例）：
- Cisco:
show ip dhcp snooping检查信任端口状态。 - Huawei:
display dhcp snooping查看端口信任状态。
解决方案：确保连接到合法DHCP服务器的交换机端口配置为 trust（信任）。如果服务器通过中间交换机连接，需逐级检查信任链是否中断。此外，检查故障终端所连端口是否意外被标记为非信任端口，且该端口未正确允许DHCP中继或直接服务。
2. 端口安全（Port Security）限制
许多企业为防止私接路由器，启用了端口安全功能，限制每个端口学习的MAC地址数量（通常为1个）。
故障场景：如果用户使用了带有内置路由功能的交换机或错误的接线方式，或者终端网卡MAC地址变更，端口安全会触发违规（Violation）动作，导致端口Shutdown或限制流量。
排查方法：检查交换机日志，查找 port-security violation 相关告警。查看端口状态是否为 err-disable。
解决方案：修正违规端口配置，或将端口恢复启用状态：shutdown 随后 no shutdown。建议合理设置最大MAC地址数，避免误杀正常办公终端。
3. IP Source Guard 与 Dynamic ARP Inspection (DAI)
这些高级安全特性依赖于DHCP Snooping绑定表。如果DHCP Snooping表项不同步或绑定表缺失，会导致合法用户的IP数据包被丢弃，虽然这通常表现为“有IP但无流量”，但在某些严格模式下，也可能影响DHCP请求的转发。
第三步：物理层与链路层排查
如果逻辑配置无误，需排除物理故障。DHCP Discover报文是广播帧，依赖二层连通性。
- VLAN划分错误：确认故障终端所属VLAN是否与DHCP服务器所在VLAN或中继目标VLAN一致。如果接入交换机端口VLAN配置错误（如配成了管理VLAN而非业务VLAN），广播包无法到达正确网段。
- STP（生成树协议）阻塞：检查端口是否处于Listening或Learning状态，或者被STP永久Blocking。虽然STP不直接阻止DHCP，但如果端口长期处于非转发状态，网络将不可用。
- 网线与接口故障：尝试更换网线，或在交换机上重新插拔接口，观察指示灯是否正常闪烁。使用
show interface status检查端口是否有CRC错误或帧计数异常。
第四步：DHCP服务器端深度诊断
若前端网络无异常，需深入服务器内部。
- 防火墙规则：检查服务器本地防火墙（Windows Firewall）或主机防火墙是否放行了UDP 67（Server）和UDP 68（Client）端口。
- 中继代理（Relay Agent）：如果DHCP服务器在不同子网，检查路由器或三层交换机的IP Helper地址配置是否正确指向DHCP服务器IP。执行
netsh interface ipv4 show subinterfaces(Windows) 或检查路由配置。 - 租约时间过长：如果租约时间设置为数年，地址回收缓慢，可能导致地址池提前枯竭。建议调整为7-14天。
自动化检测脚本示例
对于批量故障，可以使用PowerShell脚本快速定位问题。以下脚本可检测本地网络适配器的DHCP状态：
Get-NetIPConfiguration | Where-Object { $_.IPv4Address.AddressState -eq 'Preferred' -and $_.IPv4Address.PrefixOrigin -eq 'Dhcp' } | Select-Object InterfaceAlias, IPv4Address, DnsServer
若上述查询返回空值，但已知有线连接正常，则重点排查网络设备侧的DHCP丢弃策略。
总结与建议
局域网内部分设备无法获取IP地址，绝大多数情况并非终端硬件故障，而是由DHCP Snooping信任配置遗漏、端口安全违规或VLAN配置错误引起。IT人员在部署新网络或调整拓扑时，务必遵循“最小权限”原则配置交换机安全特性，并定期审查DHCP作用域的利用率。建立标准化的网络变更检查清单（Checklist），可有效预防此类间歇性故障的发生。