09/07/2026
DHCP tự động cấp địa chỉ IP cho thiết bị, loại bỏ cấu hình thủ công và là dịch vụ nền tảng của mọi hạ tầng mạng. Switch GTWave (đặc biệt dòng L3) đảm nhận được nhiều vai trò DHCP khác nhau trong cùng một hệ thống: tự xin IP cho chính nó, cấp IP cho client, chuyển tiếp request đến server ở xa, và bảo vệ mạng khỏi rogue DHCP server. Bài này gắn chặt với định tuyến L3 vì DHCP Server và Relay đều yêu cầu SVI gateway đã hoạt động.
Dùng khi switch không đóng vai gateway và muốn nhận IP từ hạ tầng DHCP sẵn có:
Switch(config)# interface vlan 1
Switch(config-vlan1)# ip address dhcp
Switch(config-vlan1)# no shutdown
Switch# show ip interface vlan 1
Không nên dùng DHCP client cho switch production vì IP có thể thay đổi gây khó quản lý. Chỉ phù hợp môi trường test và lab — production nên đặt IP tĩnh như đã hướng dẫn ở bài Setup Switch GTWave lần đầu.
DHCP request là broadcast, không tự vượt qua ranh giới subnet. Relay giải quyết bài toán này bằng cách chuyển tiếp request từ client đến server DHCP tập trung ở subnet khác.
Tình huống: server DHCP đặt tại core (192.168.1.5), các VLAN 10 và 20 ở subnet khác cần nhận IP từ server này:
Switch(config)# ip dhcp-relay enable
Switch(config)# interface vlan 10
Switch(config-vlan10)# ip dhcp-relay helper-address 192.168.1.5
Switch(config)# interface vlan 20
Switch(config-vlan20)# ip dhcp-relay helper-address 192.168.1.5
Switch# write
Switch# show ip dhcp-relay
Điều kiện để Relay hoạt động: server DHCP phải có pool định nghĩa riêng cho từng subnet (10.10.10.0/24 cho VLAN 10, 10.10.20.0/24 cho VLAN 20), và phải có route ngược về các subnet client.
Switch L3 GTWave tự làm DHCP server cho các VLAN của nó mà không cần server ngoài. Tình huống: cấp IP cho VLAN 10 (10.10.10.0/24):
Switch(config)# ip dhcp-server enable
Switch(config)# ip dhcp pool VLAN10-POOL
Switch(dhcp-config)# network 10.10.10.0 255.255.255.0
Switch(dhcp-config)# default-router 10.10.10.1
Switch(dhcp-config)# dns-server 8.8.8.8 1.1.1.1
Switch(dhcp-config)# domain-name truongson.local
Switch(dhcp-config)# lease 1 0 0
Switch(dhcp-config)# exit
Switch(config)# ip dhcp excluded-address 10.10.10.1 10.10.10.10
Switch(config)# ip dhcp excluded-address 10.10.10.250 10.10.10.254
Switch# write
Switch# show ip dhcp binding
lease 1 0 0 là thời gian thuê 1 ngày 0 giờ 0 phút. Luôn loại trừ IP hạ tầng (gateway, IP switch, IP server) bằng excluded-address trước khi pool cấp phát – nếu không DHCP có thể cấp trùng IP gateway gây mất kết nối toàn VLAN.
Để cố định IP cho một thiết bị cụ thể (reservation), dùng static binding trong pool:
Switch(dhcp-config)# host 10.10.10.50 255.255.255.0
Switch(dhcp-config)# client-identifier 00:11:22:33:44:55
DHCP Snooping là tính năng bảo mật quan trọng nhất trong phần DHCP. Tình huống nguy hiểm thực tế: một laptop bật DHCP server (qua bridge dual-NIC hoặc cắm router cá nhân vào mạng) và cấp IP giả – thiết bị trong mạng nhận IP từ rogue server, mất gateway thật và mất kết nối.
DHCP Snooping chỉ cho phép DHCP reply đi qua cổng được đánh dấu trust — nơi cắm server DHCP thật. Mọi cổng end-user mặc định untrust, DHCP reply từ cổng untrust bị drop ngay lập tức:
Switch(config)# ip dhcp snooping enable
Switch(config)# ip dhcp snooping vlan 10
Switch(config)# ip dhcp snooping vlan 20
Switch(config)# ip dhcp snooping information option
Switch(config)# interface ge1/24
Switch(config-ge1/24)# ip dhcp snooping trust
Option 82 chèn thông tin cổng nguồn vào request, giúp server biết client đến từ đâu — tạo audit trail hữu ích khi cần điều tra sự cố IP. Thêm rate-limit để chống DHCP flood:
Switch(config-ge1/1)# ip dhcp snooping limit rate 10
Kiểm tra:
Switch# show ip dhcp snooping
Switch# show ip dhcp snooping binding
Switch# show ip dhcp snooping interface
Interface Trust Limit
ge1/1 No 100
ge1/24 Yes unlimited
| Tính năng | Đường dẫn |
| DHCP Client | DHCP Configuration → DHCP client |
| DHCP Relay | DHCP Configuration → DHCP Relay |
| DHCP Server | DHCP Configuration → DHCP server |
| DHCP Snooping | DHCP Configuration → DHCP snooping |
| Triệu chứng | Hướng kiểm tra |
| PC không nhận IP | Server có pool đúng VLAN không, Relay đã cấu hình chưa, show ip dhcp binding |
| Nhận IP từ pool sai (rogue) | Bật DHCP Snooping, tìm cổng rogue, shutdown |
| Static binding không nhận đúng IP | MAC nhập đúng không, có trùng dải dynamic không (phải exclude) |
| Relay không forward | helper-address đúng không, server có route ngược về subnet client không |
| Snooping binding rỗng | Đã enable đủ global và vlan chưa, trust port đúng cổng server chưa |
Khi PC không nhận DHCP, lần theo bốn bước Discover → Offer → Request → ACK bằng Wireshark để xác định thiếu ở bước nào. Nếu vấn đề ở lớp VLAN, đối chiếu bài B-GTW02.
Switch GTWave tương thích với mọi thiết bị chuẩn Ethernet. Phần dưới là lưu ý riêng khi kết hợp với hệ thống camera Ikegawa – nếu bạn đang dùng hãng camera khác, các bước cấu hình DHCP phía trên vẫn áp dụng hoàn toàn.
Camera là thiết bị tĩnh – IP thay đổi sau mỗi lần lease hết hạn sẽ làm NVR mất kết nối đến camera và phải cấu hình lại. Nếu dùng DHCP cho camera, phải dùng static binding theo MAC để camera luôn nhận đúng IP đã đặt. IP tĩnh đặt trực tiếp trên camera là cách đơn giản và ổn định nhất cho hệ thống production.
rong hệ thống có nhiều switch và nhiều kỹ thuật viên thi công, rogue DHCP server xuất hiện do laptop hoặc thiết bị cá nhân là rủi ro thực tế. Bật Snooping trên VLAN camera ngăn thiết bị lạ cấp IP giả làm gián đoạn hệ thống giám sát.
☐ Luôn exclude IP hạ tầng (gateway, switch, server) trước khi pool cấp phát
☐ Bật DHCP Snooping trên mọi VLAN end-user, chỉ trust cổng nối server thật
☐ Dùng Option 82 để có audit trail khi cần điều tra sự cố IP
☐ Production nên có hai DHCP server (primary/secondary) để dự phòng
☐ Đặt lease 1 ngày cho office ổn định, 1 giờ cho guest WiFi để IP xoay vòng nhanh
☐ Trỏ DNS về DNS nội bộ thay vì 8.8.8.8 nếu có Active Directory để client phân giải được tên nội bộ
Ba điều kiện: helper-address trỏ đúng IP server DHCP, server có pool định nghĩa cho subnet của client, và server có route ngược về subnet client. Thiếu một trong ba thì Relay không forward được.
Nếu không exclude, DHCP có thể cấp IP gateway hoặc IP server cho client — gây trùng IP và mất kết nối toàn VLAN. Luôn exclude toàn bộ IP hạ tầng trước khi pool bắt đầu cấp phát.
Nếu đặt trust sai vào cổng end-user, cổng đó có thể phát DHCP reply mà không bị chặn — mất tác dụng bảo vệ. Nếu không đặt trust cho cổng server thật, client không nhận được IP vì reply bị drop. Luôn kiểm tra show ip dhcp snooping interface sau khi cấu hình.
Đảm bảo một thiết bị cụ thể luôn nhận đúng một IP cố định dựa theo MAC address — phù hợp cho server, máy in và camera IP cần IP ổn định mà vẫn dùng DHCP thay vì cấu hình IP tĩnh trực tiếp trên thiết bị.
Kiểm tra theo thứ tự: server có pool cho subnet của VLAN đó chưa, Relay có cấu hình helper-address trên SVI VLAN đó chưa, và DHCP Snooping có đang chặn nhầm không.
Bài viết cấu hình liên quan:
Trường Sơn Solutions là nhà phân phối ủy quyền GTWave tại Việt Nam, cung cấp switch GTWave kèm hỗ trợ tư vấn thiết kế hạ tầng DHCP và hồ sơ CO/CQ cho dự án đầu tư công. Liên hệ để được hỗ trợ.
Tác giả:
Trường Sơn SolutionsĐiện thoại
Thời gian làm việc
Để lại thông tin liên hệ ngay với chúng tôi để được tư vấn sớm nhất
Tin tức khác
