DHCP中继处理多子网问题求助：跨物理网络DHCP配置难题

针对你描述的这个跨网络DHCP中继+私有子网隔离的场景，我整理了一套可落地的配置方案，分DHCP服务器端、路由器中继配置、访问控制加固三个核心模块来讲解：

一、ISC-DHCPD服务器（Network A）配置 #

首先要让DHCP服务器能同时为自身网络和Network B的两个子网分配地址，并且允许来自路由器中继代理的请求。以下是dhcpd.conf的示例配置：

# 全局基础配置
option domain-name "your-org.internal";
default-lease-time 600;
max-lease-time 7200;

# 允许中继代理发起DHCP请求
allow bootp;
allow booting;
allow relay agents;

# --------------------------
# Network A 子网配置
# --------------------------
# Network A 公网子网（可对外通信）
subnet 203.0.113.0 netmask 255.255.255.0 {
  range 203.0.113.10 203.0.113.100;
  option routers 203.0.113.254; # 指向边界路由器的公网接口IP
  option broadcast-address 203.0.113.255;
  option domain-name-servers 8.8.8.8, 8.8.4.4; # 公网DNS
}

# Network A 私有子网（仅内部访问）
subnet 192.168.1.0 netmask 255.255.255.0 {
  range 192.168.1.10 192.168.1.100;
  option routers 192.168.1.1; # 指向本地路由器的私有接口IP
  option broadcast-address 192.168.1.255;
  option domain-name-servers 192.168.1.5; # 内部DNS服务器
}

# --------------------------
# Network B 子网配置（通过中继代理请求）
# --------------------------
# Network B 公网子网（可对外通信）
subnet 198.51.100.0 netmask 255.255.255.0 {
  range 198.51.100.10 198.51.100.100;
  option routers 198.51.100.254; # 指向边界路由器的公网接口IP
  option broadcast-address 198.51.100.255;
  option domain-name-servers 8.8.8.8, 8.8.4.4;
}

# Network B 私有子网（仅内部访问）
subnet 10.0.0.0 netmask 255.255.255.0 {
  range 10.0.0.10 10.0.0.100;
  option routers 10.0.0.1; # 指向本地路由器的私有接口IP
  option broadcast-address 10.0.0.255;
  option domain-name-servers 192.168.1.5; # 共享内部DNS
}

# 指定允许发起中继请求的路由器接口IP（Network B路由器连接A的接口）
host dhcp-relay-network-b {
  fixed-address 203.0.113.10; # 路由器接口的公网IP
  hardware ethernet aa:bb:cc:dd:ee:ff; # 可选，绑定接口MAC增强安全性
}

关键要点：确保DHCP服务器所在主机的路由表能访问到Network B的两个子网（可通过路由器静态路由实现）。

二、路由器DHCP中继配置（Network B侧） #

根据路由器类型不同，配置方式略有差异：

1. Linux路由器（使用dhcrelay工具） #

直接启动中继服务，指定Network B的客户端接口和DHCP服务器IP：

# 同时为Network B的公网、私有子网提供中继
dhcrelay -d -i eth1 -i eth2 203.0.113.5
# 说明：eth1=Network B公网子网接口，eth2=Network B私有子网接口，203.0.113.5=ISC-DHCPD服务器IP

同时要开启IP转发：

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p

2. Cisco路由器配置 #

在Network B的两个客户端接口上配置DHCP中继地址：

interface GigabitEthernet0/0
 ip address 198.51.100.1 255.255.255.0
 ip helper-address 203.0.113.5 # 指向ISC-DHCPD服务器IP

interface GigabitEthernet0/1
 ip address 10.0.0.1 255.255.255.0
 ip helper-address 203.0.113.5

关键要点：路由器必须有到DHCP服务器的有效路由，否则中继请求无法送达。

三、访问控制加固（确保私有子网仅内部访问） #

这一步是核心，要通过ACL限制私有子网的对外通信，仅允许其访问内部四个子网：

1. Linux路由器（使用iptables） #

# 禁止私有子网访问外部网络
iptables -A FORWARD -s 192.168.1.0/24 ! -d 10.0.0.0/24 ! -d 203.0.113.0/24 ! -d 198.51.100.0/24 -j DROP
iptables -A FORWARD -s 10.0.0.0/24 ! -d 192.168.1.0/24 ! -d 203.0.113.0/24 ! -d 198.51.100.0/24 -j DROP

# 允许内部子网之间的通信
iptables -A FORWARD -s 192.168.1.0/24 -d 10.0.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.0.0.0/24 -d 192.168.1.0/24 -j ACCEPT
iptables -A FORWARD -s 192.168.1.0/24 -d 203.0.113.0/24 -j ACCEPT
iptables -A FORWARD -s 10.0.0.0/24 -d 198.51.100.0/24 -j ACCEPT

2. Cisco路由器（使用扩展ACL） #

ip access-list extended PRIVATE_ISOLATION_ACL
 deny ip 192.168.1.0 0.0.0.255 any
 deny ip 10.0.0.0 0.0.0.255 any
 permit ip 192.168.1.0 0.0.0.255 10.0.0.0 0.0.0.255
 permit ip 10.0.0.0 0.0.0.255 192.168.1.0 0.0.0.255
 permit ip 192.168.1.0 0.0.0.255 203.0.113.0 0.0.0.255
 permit ip 10.0.0.0 0.0.0.255 198.51.100.0 0.0.0.255
 permit ip any any

# 将ACL应用到边界路由器的出口接口
interface GigabitEthernet0/2
 ip access-group PRIVATE_ISOLATION_ACL out

关键要点：确保私有子网的默认路由指向本地路由器，而非边界路由器，避免绕开ACL限制。

四、验证步骤 #

1. 在Network B的DHCP客户端执行ip addr和ip route，确认获取到正确的IP、网关和DNS配置
2. 测试私有子网客户端：能ping通其他内部子网设备，但无法ping通公网地址（如8.8.8.8）
3. 测试公网子网客户端：能正常访问外部网络，同时可访问内部所有子网
4. 查看ISC-DHCPD日志（/var/log/dhcpd.log），确认中继请求被正常处理并分配地址

内容的提问来源于stack exchange，提问作者ereisch