1. 从一道软考真题说起DhcpDecline 到底是谁发给谁的先看这道软考网络工程师的经典选择题如果发送给 DHCP 客户端的地址已经被其他 DHCP 客户端使用客户端会向服务器发送 信息包拒绝接受已经分配的地址信息。选项里躺着 DhcpPack、DhcpOffer、DhcpDecline、DhcpNack 四个报文名正确答案是 C、DhcpDecline。这道题真正想考的不是背单词而是搞清楚 DHCP 八种报文的方向性。很多人第一次做会选 DhcpNack因为直觉上拒绝应该是服务器干的活。但这里的主语是客户端——是客户端发现地址被占用后主动向服务器报告这个地址我不能用。方向搞反整道题就崩了。DHCP 一共八种报文按发送者可以分成两拨。客户端发出的有四种Discover广播找服务器、Request请求使用某地址、Decline拒绝已分配地址、Release主动释放地址。服务器发出的也有四种Offer提供候选地址、ACK确认分配、NAK拒绝请求、Inform客户端已有 IP 只求扩展配置时的应答场景。DhcpDecline 的触发链条是这样的客户端收到 ACK 后并不立刻信任这个地址它会先发一个免费 ARPGratuitous ARP探测局域网内有没有人已经用了这个 IP。如果收到 ARP 回应说明地址冲突客户端就发 DhcpDecline 告诉服务器这个地址废了然后重新走 Discover 流程。服务器收到 Decline 后会把该地址标记为冲突状态通常冻结一段时间不再分配。这个机制在软考里是高频考点在实际网络排障里更是天天遇到。地址池莫名其妙变小、用户反复掉线重连、日志里刷屏 DhcpDecline背后往往就是地址冲突在作祟。接下来我会带你在模拟环境里把整个冲突复现出来用抓包过滤表达式亲眼看到 DhcpDecline 报文长什么样再验证服务器地址池的恢复动作。2. 搭建可复现的 DHCP 冲突实验环境与抓包过滤表达式要复现 DhcpDecline你需要三个角色一台 DHCP 服务器、一台正常客户端、一台捣乱的设备手动配置了某个 IP制造冲突。我试过用 Linux 上的 isc-dhcp-server 配合两台虚拟机来做成本最低也最接近真实排障场景。先说服务器侧。在 Ubuntu 上装 isc-dhcp-server配置文件/etc/dhcp/dhcpd.conf里定义一个很小的地址池方便快速耗尽和观察subnet 192.168.56.0 netmask 255.255.255.0 { range 192.168.56.100 192.168.56.102; option routers 192.168.56.1; option domain-name-servers 8.8.8.8; default-lease-time 600; max-lease-time 7200; }地址池只有三个地址.100 到 .102这样冲突一发生地址池很快见底DhcpDecline 的效果特别明显。改完配置记得systemctl restart isc-dhcp-server然后用journalctl -u isc-dhcp-server -f盯着日志。客户端侧用一台虚拟机把网卡设成 DHCP 自动获取。第三台捣乱设备手动把 IP 固定成 192.168.56.100——也就是地址池里的第一个地址。注意这台设备要先于正常客户端上线或者至少保证在客户端做 ARP 探测时它在线并会回应 ARP。抓包是这次实验的核心。在服务器或客户端所在网段跑 tcpdump过滤表达式这样写tcpdump -i eth0 -n -vvv udp port 67 or udp port 68 -w dhcp.pcapDHCP 服务器用 UDP 67 端口客户端用 UDP 68 端口抓这两个端口就能覆盖全部八种报文。如果你只想看 Decline可以加更精确的过滤tcpdump -i eth0 -n -vvv udp port 67 or udp port 68 and udp[240:1] 4这里udp[240:1] 4是在匹配 DHCP 报文的 option 53Message Type值为 4 就代表 Decline。DHCP 报文类型在 option 53 里用数字表示1Discover、2Offer、3Request、4Decline、5ACK、6NAK、7Release、8Inform。记住这组数字抓包和看日志都用得上。如果你更习惯用 Wireshark 图形界面过滤表达式写bootp.option.dhcp 4就能只看 Decline 报文。bootp 是 DHCP 的前身协议名Wireshark 里沿用了这个过滤器前缀。环境搭好后先别急着制造冲突。让正常客户端先获取一次地址确认 DORA 四步走通抓包里能看到 Discover、Offer、Request、ACK 四个报文这一步是基线。基线跑通再让捣乱设备上线占住 .100然后让客户端重新申请地址这时候 DhcpDecline 才会登场。3. 可复制的冲突复现配置与 DhcpDecline 触发验证步骤现在进入实操。整个复现流程分五步每一步都有明确的观察点。第一步确认捣乱设备占住地址。在第三台设备上手动配置ip addr add 192.168.56.100/24 dev eth0 ip link set eth0 up配完后在服务器上 ping 一下ping 192.168.56.100能通说明地址确实被占用了。这一步很关键如果捣乱设备没真正在线客户端的 ARP 探测就收不到回应DhcpDecline 不会触发。第二步让正常客户端释放当前地址并重新申请。Linux 下可以这样操作dhclient -r eth0 # 释放 dhclient -v eth0 # 重新申请-v 输出详细过程-v参数会打印完整的报文交互你能在终端里直接看到客户端发了 Discover、收到 Offer、发 Request、收 ACK然后做 ARP 探测、发现冲突、发 Decline 的全过程。第三步盯住服务器日志。isc-dhcp-server 收到 Decline 后会打印类似这样的记录DHCPDECLINE on 192.168.56.0 from 08:00:27:xx:xx:xx via eth0 Abandoning IP address 192.168.56.100: declined.Abandoning这个词是重点服务器把这个地址标记为废弃放进一个冲突列表默认一段时间内isc-dhcp-server 里由abandon-lease-time控制不再分配。第四步看抓包文件。用 Wireshark 打开 dhcp.pcap过滤bootp.option.dhcp 4你会看到一条 Decline 报文源端口 68、目的端口 67源 IP 是 0.0.0.0客户端还没正式拿到地址目的 IP 是 255.255.255.255 广播。展开报文详情option 53 的值是 4option 50Requested IP Address里填的就是那个冲突地址 192.168.56.100。第五步验证地址池恢复。客户端发完 Decline 会重新走 Discover服务器从剩下的 .101、.102 里挑一个给客户端。这时候再抓包能看到新一轮 DORA最终客户端拿到 .101 或 .102。而 .100 在服务器日志里会显示为 abandoned 状态直到冻结时间到期才重新可用。如果你想更直观地看地址池状态isc-dhcp-server 的租约文件/var/lib/dhcp/dhcpd.leases里会记录每个地址的状态。冲突地址会有一条binding state abandoned的记录正常分配的则是binding state active。用grep -A5 192.168.56.100 /var/lib/dhcp/dhcpd.leases就能看到。这里有个容易踩的坑有些客户端尤其是 Windows的免费 ARP 探测有超时和重试机制如果捣乱设备响应慢客户端可能误判地址可用直接开始用结果就是两台设备抢同一个 IP网络时通时断。所以复现时确保捣乱设备是稳定在线的。4. 从抓包结果反推 DHCP 八种报文在冲突场景的完整交互把抓包结果摊开看一次完整的地址冲突处理会涉及五种报文按时间顺序是Discover → Offer → Request → ACK → Decline然后客户端重新 Discover开启第二轮。第一轮里客户端广播 Discoveroption 531服务器回 Offeroption 532提供 .100客户端广播 Requestoption 533确认要 .100服务器回 ACKoption 535确认分配。到这里 DORA 走完但客户端还没真正启用地址它先发免费 ARP 探测 .100。捣乱设备回应了 ARP客户端判定冲突发 Declineoption 534。Decline 报文里有两个关键字段option 50 填冲突的 IP 地址option 54 填服务器标识Server Identifier这样服务器才知道是哪个地址、由哪个服务器分配的。服务器收到后把 .100 标记为 abandoned客户端重新 Discover服务器这次从剩余地址里挑一个 Offer 回来。这里要区分清楚 Decline 和 NAK。Decline 是客户端发给服务器的方向是客户端→服务器含义是你给我的地址有问题我拒收。NAK 是服务器发给客户端的方向是服务器→客户端含义是你请求的地址我不能给比如租约过期、跨网段了、或者地址已经分给别人了。软考里经常把这两个放一起考方向性记住Decline 是客户端拒收NAK 是服务器拒给就不会错。Release 又是另一回事。Release 是客户端主动提前释放地址比如你关机前优雅地归还 IP方向也是客户端→服务器但它发生在正常使用之后不是冲突场景。Inform 更特殊客户端已经有 IP 了可能是手动配的只想问服务器要 DNS、网关这些扩展参数发 Inform服务器回 ACK 但不分配新地址。把这八种报文按谁发的、什么时候发、干什么用三个维度列个表记忆会牢很多报文发送者触发时机核心作用Discover客户端首次申请/重新申请广播寻找服务器Offer服务器收到 Discover提供候选地址Request客户端收到 Offer 后确认选用某地址ACK服务器收到 Request确认分配并给租约NAK服务器请求地址无效拒绝客户端请求Decline客户端ARP 探测发现冲突拒收冲突地址Release客户端主动放弃地址提前归还 IPInform客户端已有 IP 求扩展配置只取 DNS/网关等回到冲突场景整个交互的本质是客户端帮服务器做了一次地址可用性二次校验。服务器分配前虽然也可能 ping 探测但服务器和客户端不在同一广播域时跨网段走中继服务器的探测不一定准所以最终校验交给客户端做。客户端用免费 ARP 探测发现冲突就 Decline这是 DHCP 协议设计里很聪明的一环。5. 排障实录DhcpDecline 相关的典型报错与地址池恢复异常实际排障中DhcpDecline 相关的报错有几类特别常见我按现象和原因拆开说。第一类服务器日志刷屏Abandoning IP address ... declined地址池快速耗尽。这通常意味着网段里有多台设备手动配置了地址池范围内的静态 IP或者有设备配置了错误的静态地址。排查方法是看日志里被 abandoned 的地址有哪些然后逐个 ping 或 arp-scan 找出占用者。命令arp-scan --localnet能列出网段内所有活跃设备的 IP 和 MAC对照被废弃的地址就能定位。第二类客户端反复DHCPDECLINE但服务器地址池明明有空闲。这种情况多半是客户端自己的 ARP 缓存有问题或者网段里有设备在乱回 ARP。可以在客户端上arp -d 192.168.56.100清缓存后重试或者抓包看是谁回应了 ARP 请求。如果回应者的 MAC 和预期不符就是它在捣乱。第三类地址池恢复异常。isc-dhcp-server 默认的abandon-lease-time比较长被 Decline 的地址可能几小时都不回收。如果地址池本来就小几次冲突就分不出地址了。可以在dhcpd.conf里显式设置abandon-lease-time 300;把废弃地址的冻结时间缩短到 5 分钟加快回收。但要注意设太短可能导致冲突地址被反复分配形成分配-冲突-Decline-再分配的死循环。合理值取决于你网段里静态 IP 的混乱程度。第四类跨网段场景下 Decline 丢失。如果客户端和服务器之间隔着 DHCP 中继Decline 报文要经过中继转发才能到服务器。有些中继设备对 Decline 的处理不完整导致服务器收不到地址池里那个地址一直显示 active实际却冲突。排查时在中继两侧分别抓包对比 Decline 是否被正确转发。中继配置里要确保ip helper-address指向正确的服务器地址。第五类Windows 客户端的特殊行为。Windows 在收到 ACK 后会做 ARP 探测如果探测到冲突除了发 Decline还会在事件日志里记录 IP 地址冲突。用ipconfig /release和ipconfig /renew可以手动触发重新申请。有时候 Windows 的探测超时设置导致它误判可以临时禁用冲突检测不推荐长期用来验证是不是探测机制的问题。排障时有个通用思路先在客户端抓包确认 Decline 是否发出再在服务器抓包确认是否收到最后看服务器日志确认地址池状态是否更新。三个环节逐一排除问题基本跑不掉。6. 把 DHCP 报文机制用起来从软考考点到真实网络运维软考考 DHCP考的是你对协议交互的理解但真实网络运维里这套知识是用来救火的。地址冲突导致用户上不了网是中小企业网络里最高频的故障之一而 DhcpDecline 就是定位这类问题的钥匙。我建议你把这次实验的抓包文件存下来作为以后排障的对照样本。遇到用户报上不了网先抓包看有没有 Decline有的话直接去查冲突地址的占用者比盲目重启设备高效得多。同时在 DHCP 服务器上开启冲突检测isc-dhcp-server 的ping-check true让服务器分配前先 ping 一下能挡掉一部分冲突减轻客户端的负担。对于需要固定 IP 的服务器、打印机别用静态配置硬占地址池而是在 DHCP 服务器上做 MAC 绑定host printer { hardware ethernet 08:00:27:aa:bb:cc; fixed-address 192.168.56.200; }这样地址由 DHCP 统一管理不会和动态池冲突也方便集中维护。地址池规划时把动态范围和静态范围分开比如动态用 .100-.200静态用 .201-.250从源头上减少冲突概率。如果你在备考软考的同时也在做实际网络这套 DHCP 报文机制值得反复琢磨。八种报文的方向、触发条件、字段含义背下来只是第一步能在抓包里认出来、在日志里读出来、在故障里用起来才算真正掌握。下次遇到地址冲突别慌打开抓包工具过滤bootp.option.dhcp 4让 DhcpDecline 告诉你真相。