H3C防火墙设置DHCP无法获取IP

看配置没啥问题，抓包看下DHCP请求上来没吧

需要放行trust到local安全策略

将trust 到local 和local到trust的安全策略都双向放行

1. 检查安全策略（最常见原因）

• 操作：进入【安全策略】>【策略配置】。
• 检查：必须放通 Trust 区域到 Local 区域，以及 Local 区域到 Trust 区域的安全策略。
• 配置参考：
  • 源安全域：Trust
  • 目的安全域：Local
  • 服务：UDP（DHCP 使用 UDP 67 和 68 端口）
  • 动作：允许
  • (反向 Local 到 Trust 同理配置)

2. 核对地址池的“关联接口”

• 操作：进入【网络配置】>【DHCP服务】>【DHCP地址池】。
• 检查：编辑 Pool-6 和 Pool-8，确认关联接口（或应用接口）是否正确选择了 GE0/6 和 GE0/8。如果未关联，防火墙不知道该把哪个地址池的 IP 分配给对应网段的终端。

3. 检查地址池 IP 范围与网关的冲突

• 操作：核对地址池配置。
• 检查：您的网关是 192.168.6.1，而地址池起始 IP 是 192.168.6.2，这没有冲突，是正确的。但请确保地址池的网段与接口配置的 IP 网段严格一致。

4. 检查 PC 端与物理连接

• PC 端：确保 PC 的网卡已设置为“自动获得 IP 地址”。可以尝试在 CMD 中执行 ipconfig /release 然后 ipconfig /renew 强制重新获取。
• 物理层：确认 PC 连接的交换机端口与防火墙的 GE0/6 或 GE0/8 之间的物理链路是通的（指示灯正常）。如果中间经过了其他二层交换机，确保交换机端口没有开启类似 DHCP Snooping 的功能拦截了请求。

5. 检查 DHCP 使能状态

• 操作：进入【网络配置】>【DHCP服务】>【DHCP使能】。
• 检查：确认 GE0/6 和 GE0/8 接口前方的“启用”复选框确实已经勾选并保存。

F100-M-G5 DHCP 终端无法获取 IP 完整排错（完全匹配你的拓扑 & 配置）
一、先讲 DHCP 工作前提（你配置里极易遗漏的 3 个关键点）
终端获取 IP 流程：PC 发 DHCP 广播请求 → 防火墙 Trust 域接口接收广播 → 匹配对应网段地址池 → 单播回复 IP 给 PC。
DHCP 失败只分 4 大类：接口广播阻断、DHCP 全局开关未开、域间策略拦截 DHCP 报文、傻瓜交换机环路 / 端口隔离，按顺序排查即可解决。
二、分步逐项核对修复（按优先级从高到低）
1. 检查全局 DHCP 总开关（90% 新手遗漏！）
Web 路径：网络配置 → DHCP 服务 → 全局配置
必须勾选【启用 DHCP 服务器总开关】，只开接口 DHCP 使能、不开全局总开关，地址池完全不生效，PC 收不到任何 DHCP 回复。
修复：勾选全局启用，保存页面。
2. Trust 域放行 DHCP 广播报文（防火墙域间默认拦截广播）
DHCP 报文使用 UDP 67/68 端口，属于二层广播，防火墙默认 Trust 域内会拦截广播流量，导致请求到不了 DHCP 服务。
Web 操作：策略→安全策略，新建内网放行规则
规则名称：内网 DHCP 放行
源安全域：Trust
目的安全域：Trust
服务：自定义 UDP 67、UDP 68
动作：允许
生效时间：全天
保存策略，放在安全策略最上方（ID 最小优先匹配）。
3. 接口配置校验（核对 GE0/6、GE0/8 三点）
接口连接模式：路由模式（route），不能是桥模式；
IP 地址、掩码、安全域 Trust 和你配置一致：
GE0/6：192.168.6.1/24 Trust
GE0/8：192.168.8.1/24 Trust
接口无 shutdown（页面显示「开启」状态）；
DHCP 使能页面，GE0/6、GE0/8 两行全部勾选启用。
4. DHCP 地址池匹配校验
Pool-6 网段192.168.6.0/24、网关192.168.6.1 对应 GE0/6；
Pool-8 网段192.168.8.0/24、网关192.168.8.1 对应 GE0/8；
地址池范围不能包含接口网关 IP（你的起始 2~254 没问题）；
地址池状态无「耗尽」告警，地址池总数足够终端使用。
5. 傻瓜交换机侧二层故障排查（物理链路问题）
交换机端口环路：两台傻瓜交换机不要接任何回线，单口上行防火墙；
网线故障 / 速率不匹配：换网线、强制端口百兆 / 千兆自协商；
终端网卡故障：PC 手动设静态 IP 192.168.6.10/24 ping 192.168.6.1，不通就是二层链路问题。
三、快速测试定位手段（区分是防火墙配置还是链路问题）
测试 1：PC 直连防火墙 GE0/6 口，取消中间交换机
PC 直插 GE0/6，清空网卡缓存：ipconfig /release && ipconfig /renew
能获取 IP → 中间傻瓜交换机环路 / 广播阻断；
依旧拿不到 IP → 防火墙 DHCP 配置缺失（全局开关 / 安全策略）。
测试 2、防火墙查看 DHCP 报文交互
Console 登录防火墙，实时调试 DHCP：
plaintext
system-view
debugging dhcp server packet
terminal debugging
terminal monitor
PC 执行释放重获取 IP：
控制台能打印 DHCP Discover 报文，但无 Offer 回复：地址池不匹配 / 全局 DHCP 未开启；
控制台完全无任何打印：广播报文被安全策略拦截、二层链路不通。
测试 3：查看地址池分配记录
plaintext
display dhcp server ip-in-use
无任何地址占用记录 = DHCP 从未下发 IP；有记录但 PC 拿不到 = 回程报文拦截。
四、最常见 3 个踩坑点（你大概率中其中一个）
只开接口 DHCP 使能，没开全局 DHCP 总开关
现象：地址池、接口配置全对，PC 永远获取超时，debug 无 DHCP 回复报文。
Trust 域内没有放行 UDP67/68 安全策略
防火墙把内网 DHCP 广播丢弃，防火墙收不到 PC 的 DHCP 请求。
傻瓜交换机存在环路
广播风暴抑制阻断 DHCP 广播，直连防火墙就能获取 IP，接交换机就失效。
五、修复后验证命令
plaintext
# 查看DHCP全局状态
display dhcp server configuration
# 查看地址池信息
display dhcp server pool
# 查看已分配IP
display dhcp server ip-in-use
# 查看接口DHCP开启状态
display dhcp server interface
六、极简修复操作顺序（照着操作即可恢复）
进入 DHCP 全局配置，勾选【启用 DHCP 服务器】保存；
新建 Trust 到 Trust 放行 UDP67/68 安全策略置顶；
PC 直连防火墙 LAN 口测试能否获取 IP；
能获取则排查下层傻瓜交换机环路、网线问题。