半夜两点，局域公司服务器集体断网。网中运维老张打开抓包工具，找出三分钟就锁定了那台罪魁祸首——一个放在角落、非法落满灰的局域旧路由器。它自己开了DHCP服务，网中正给全公司发错误网关地址。找出这种事故我见过不下十次，非法每次都是局域同一个套路。

DHCP协议本身没设防。网中谁先响应，找出客户端就信谁。非法局域网里只要有人插了个带DHCP功能的局域小交换机，或者某台Windows机器误开了Internet连接共享，网中立刻就能冒充合法服务器。找出真正的DHCP服务器还在慢悠悠处理请求，冒牌货已经抢先扔出配置。后果可能只是IP冲突，也可能像老张遇到的那样——整个网络瘫痪。

找非法DHCP，最直接的办法是看交换机的MAC地址表。登录核心交换机，查DHCP服务器的MAC对应哪个端口。如果这个端口连的是合法服务器，那就没事。要是连到墙上某个莫名奇妙的网口，顺着网线摸过去，八成能逮到那个惹祸的小盒子。

更聪明的做法是主动出击。用抓包工具监听网络里的DHCP Offer报文，合法服务器发出的Offer里带着固定选项82（中继代理信息）。非法DHCP通常不带这个字段，或者带得很别扭。我习惯在关键网段配置DHCP Snooping——这功能能把交换机端口分成信任和不信任两类。信任端口才允许发DHCP Offer，不信任端口发的直接丢弃。配置命令就几行，但能根治问题。

有一次我碰到个奇葩案例。某部门自己带了个无线路由器，把WAN口插到公司网口上，LAN口再接电脑。这路由器默认开了DHCP，结果整个楼层都收到它的分配地址。最坑的是它还把公司DNS给劫持了，网页打开全是广告。我用DHCP Snooping抓了个正着，但部门主管死不承认，说那路由器是“测试用的”。直到我把他电脑的IP地址和MAC地址调出来，跟非法DHCP租约记录一对，他才闭嘴。

日常巡检比事后补救省心。我每周跑一次脚本，扫描网段内所有响应DHCP请求的设备，比对合法服务器列表。脚本输出结果直接发到运维群，谁插了新设备一目了然。成本低，而且能防患于未然。

说到底，非法DHCP不是技术难题，是管理漏洞。技术手段再强，也挡不住有人贪方便乱插设备。给交换机配上DHCP Snooping，把接入层端口全部设为不信任，再定期扫一遍网段，基本就能睡个安稳觉了。剩下的，就是跟那些乱接设备的人讲道理——虽然大多数时候，讲道理不如直接拔网线来得有效。