这类问题的现场描述往往是“WiFi 连上了但用不了”“手机提示已连接但无法访问网络”。看一眼终端拿到的地址就能快速分向：拿到 169.254.x.x 通常说明没拿到 DHCP 地址；拿到一个明显不属于本网段的地址（如 192.168.31.x、192.168.0.x）多半是接到了私接路由器。在东创伟业处理过的酒店与办公网络里，这类“连上了却上不了网”的报修，地址层面往往能直接分向。
一、第一步：看终端拿到的地址
Windows：
ipconfig /all
关注四项：IPv4 地址、子网掩码、默认网关、DHCP 服务器地址。
Linux：
ip addr
ip route
cat /etc/resolv.conf
判读：
拿到 169.254.x.x：未拿到地址，DHCP 请求无响应或地址池耗尽；
拿到正确网段：地址正常，方向转向网关、DNS、出口；
拿到异常网段（如 192.168.31.x）：接到私接路由器的二次 NAT；
地址正确但提示冲突：存在静态地址与动态分配重叠，或两个 DHCP 服务并存。
二、第二步：核对地址池使用率
交换机、路由器侧（华为）：
display dhcp server ip-in-use
display dhcp server statistics
display ip pool
H3C：
display dhcp server ip-in-use
display dhcp server pool
判读：
已分配地址数接近池容量：地址池耗尽，新终端拿不到地址；
池容量充足但仍有终端拿不到：检查中继、VLAN 与 Option 配置；
大量地址处于长期占用状态：租期过长或离职、退房的终端未释放。
地址池规划口径：按“实际并发终端数 × 冗余系数”定池容量，并按业务分区（客房、办公、访客、设备）划分不同地址池，避免一个池跑所有业务。
三、第三步：查私接路由器（酒店高发）
客房或工位私接一台家用路由器，会带来两类问题：
- 二次 NAT：终端拿到私接路由器分配的地址，与酒店网络不在同一网段，网速与稳定性都受影响，也给日志溯源带来困难；
- 冒充 DHCP 服务：私接路由器的 LAN 口接入内网时会对外分配地址，其他终端可能拿到错误网关。
排查方法：
在交换机侧看某个接入端口下是否出现多个 MAC 地址（接入端口一般只应有少量终端 MAC）；
用 display mac-address 看该端口学习到的 MAC 数量；
用抓包或 DHCP 服务器日志看是否存在非预期的 DHCP 响应；
终端侧看拿到的网关地址是否为规划中的网关。
处理思路：配置 DHCP snooping 并把上联口设为信任端口，非信任端口发出的 DHCP 响应直接丢弃，从机制上避免私接路由冒充服务。
四、第四步：查地址冲突
冲突的常见成因：
静态地址落在 DHCP 池范围内：核对服务器、打印机、摄像头的静态地址与地址池范围；
两个 DHCP 服务并存：抓包看是否有多个 DHCP 响应；
终端保留了旧地址租约：终端侧释放并重取，执行 ipconfig /release 再加 ipconfig /renew；
虚拟化或双网卡桥接：核对终端网卡与桥接配置。
Windows 侧可用：
arp -a
对比 ARP 表里的 IP-MAC 对应关系，同一 IP 对应多个 MAC 或 MAC 频繁变化，是冲突的直接证据。
五、第五步：核对 VLAN 与中继配置
多 VLAN 环境下终端拿不到地址，通常与中继有关：
- 接入端口的 VLAN 是否正确（PVID 与允许的 VLAN）；
- 三层设备是否配置了 DHCP 中继（dhcp select relay 或 ip helper-address）；
- 中继地址是否指向正确的 DHCP 服务器；
- 上联 trunk 是否放行了对应 VLAN。
判据：终端侧抓包能看到 DHCP Discover 但没有 Offer，说明请求没到服务器或服务器无响应；能看到 Offer 但终端没采用，说明存在多个服务响应或 Option 不匹配。
六、处理与验证
地址池耗尽：扩大池容量或缩短租期，按业务分区建池；验证新终端可正常获取地址；
租期过长：按场景调整租期（访客短、办公长）；验证空闲地址回收速度改善；
私接路由：开启 DHCP snooping，上联信任、接入非信任；验证非信任端口的 DHCP 响应被丢弃；
静态地址重叠：把静态地址移出地址池范围，建立地址台账；验证冲突提示消失；
VLAN、中继错误：核对 PVID、trunk 放行与中继地址；验证各 VLAN 终端均可获取地址。
回退：地址池与租期调整前导出配置；DHCP snooping 建议先在单个接入交换机试配，确认合法 DHCP 服务器所在端口已设为信任后再推广，否则会造成整段拿不到地址。
七、避坑小结
- 先分网段再看服务，终端地址能直接分向；
- DHCP snooping 一定要先配信任口，漏配信任口会导致全网拿不到地址；
- 静态设备要登记台账，避免与地址池重叠；
- 租期不是越长越好，访客类场景过长会拖慢地址回收；
- 接入端口 MAC 数量是私接路由的敏感指标，可纳入巡检。
速查：终端拿不到地址
拿到 169.254 地址：优先查地址池耗尽、中继未配、服务器无响应；
拿到陌生网段地址：优先查私接路由二次 NAT；
提示 IP 冲突：优先查静态地址与地址池重叠；
部分 VLAN 拿不到：优先查 PVID 与 trunk 放行、中继地址；
无线能连但无地址：优先核对 AC、AP 的 VLAN 与上行放行。
常见问题（FAQ）
Q：酒店客房地址池一般按什么口径规划？
A：按实际并发终端数规划，而不是按房间数。客房场景通常按每间房 2 到 3 台终端估算（手机、平板、笔记本、电视可能同时在线），再乘冗余系数，并按客房、办公、访客、设备分别建池。租期按场景区分：访客类偏短以便回收，办公与固定设备偏长以减少续约报文。
Q：开启 DHCP snooping 会不会影响正常上网？
A：配置正确时不会，但顺序很关键：必须先把合法 DHCP 服务器所在的上联端口设为信任端口，再在非信任端口启用 snooping。若漏配信任口，合法的 DHCP 响应也会被丢弃，表现为整段终端都拿不到地址。建议先在单台接入交换机试配并观察，确认无异常后再推广。
Q：发现有客房私接路由器，怎么处理比较合适？
A：技术与管理结合。技术侧开启 DHCP snooping，让私接设备无法冒充服务分配地址；同时在接入端口限制 MAC 数量，异常时可定位到具体端口。管理侧由酒店前台或客房部门提示住客将路由器切换为 AP 模式（桥接模式）。处理前建议先确认该端口的实际用途，避免误伤客人的正常多终端使用。
