WX3510H排除地址不生效

配置发出来看看

如果配置没问题看下是不是dhcp表项没老化 清除下表项

WX3510H上配置了DHCP地址排除（dhcp server forbidden-ip）后不生效，AP依然获取到排除地址，通常是因为DHCP服务器并非WX3510H、地址池已满，或配置/交换机侧存在问题。

📝 排查步骤

可以按照以下步骤，逐一排查：

1. 确认排除地址配置正确

• 检查配置：在AC上使用 display dhcp server ip-pool 命令，查看地址池配置中是否包含了 excluded-ip-address 或 forbidden-ip 等排除命令。

• 确认命令：正确的排除命令是 dhcp server forbidden-ip <起始IP> <结束IP>。请检查是否完整执行。

2. 检查AP的DHCP服务器来源

• 确认服务器：AP可能不是从WX3510H获取IP地址。在AP上使用 display ip interface brief 命令，查看获取的网关地址是否为WX3510H的接口地址。

• 排查其他DHCP服务器：如果网关不是WX3510H，说明网络中存在其他DHCP服务器。可以在WX3510H上抓包（packet-capture）定位冲突源。

3. 检查地址池状态

• 查看地址池：使用 display dhcp server ip-pool 命令检查地址池是否有可用IP。

• 检查地址冲突：使用 display dhcp server conflict 查看是否有IP地址冲突记录。如果存在冲突，DHCP服务器可能会忽略排除设置。

4. 检查AP的IP地址获取方式

• 确认是DHCP获取：登录AP，使用 display current-configuration | include ip address 命令检查AP是否为静态IP。如果是静态IP，需要改为DHCP获取。

5. 检查VLAN与交换机配置

• VLAN放通：确认AC、POE交换机上，AP管理VLAN已创建并放通。

• 检查交换机端口：确认连接AP的交换机端口配置为Trunk模式，并允许了相应的管理VLAN通过。

6. 尝试重启DHCP服务

• 在完成上述检查后，可以尝试重启DHCP服务：undo dhcp server enable 然后再 dhcp server enable。或者，将相关的VLAN接口 shutdown 再 undo shutdown 重启。

核心命令区分（V7 AC 务必注意）
全局排除：dhcp server forbidden-ip x.x.x.x 【系统视图】
地址池内局部排除：forbidden-ip / forbidden-ip-range 【ip-pool 视图】
很多人混淆两条命令，导致失效。
一、最高频故障原因（按排查优先级排序）
1、网络存在多台 DHCP 服务器（现场最常见！）
现象：AC 上配置了排除地址，但 AP 拿到的 IP根本不是 AC 分配的，是核心交换机 / 防火墙等其他 DHCP 下发。
✅ 验证：AP 上线后查看 DHCP Offer 源 MAC，确认 DHCP 服务器是谁。
✅ 处理：全网只保留一台合法 DHCP；其他设备关闭 DHCP 服务。
2、命令层级使用错误（90% 配置坑）
❌ 错误场景：
地址池视图敲 dhcp server forbidden-ip（这条命令只能在系统视图执行，地址池内不识别）
或者 在系统视图配置forbidden-ip（这条仅地址池视图可用）
✅ 两种标准正确写法（二选一，不要混用）
方式 A：地址池内局部排除（推荐，仅作用当前地址池）
plaintext
system-view
dhcp server ip-pool AP-MGMT
network 10.0.0.0 mask 255.255.255.0
forbidden-ip 10.0.0.1 10.0.0.20
quit
方式 B：全局 DHCP 排除（对所有地址池生效）
plaintext
system-view
dhcp server forbidden-ip 10.0.0.1 10.0.0.20
3、历史 DHCP 租约缓存没有清空
配置排除地址之前，IP 已经分配给 AP；租约没到期，DHCP 不会主动回收。
即使新增排除规则，已分配租约继续有效。
plaintext
# 查看占用地址
display dhcp server lease all
# 清空地址池内已分配表项（维护窗口执行）
reset dhcp server binding all
操作后 AP 断电重启，重新发起 DHCP 请求测试。
4、接口没有正确关联地址池
Vlanif 接口缺少 dhcp select global，接口未调用全局地址池，配置不生效。
plaintext
interface Vlan-interface 10
ip address 10.0.0.254 255.255.255.0
dhcp select global
5、排除网段超出地址池 network 范围
地址池网段10.0.0.0/24，但是排除地址写了10.0.1.1~10.0.1.10，不在网段内，规则直接无效。
6、Web 界面配置同步问题
在 WEB 页面添加排除地址，CLI 配置未实时刷新；建议优先 CLI 配置，保存配置。
二、标准化排查步骤（直接照着执行）
确认 DHCP 服务器身份
抓包查看 AP 收到 DHCP Offer 来自哪台设备，排除多 DHCP 冲突。
核查配置命令层级
plaintext
display current-configuration | include forbidden
确认命令所在视图（系统视图 /ip-pool 视图）书写正确。
3. 验证地址池关联
plaintext
display ip pool name AP-MGMT
查看地址池内Forbidden IP列表是否成功加载排除网段。
4. 清理旧租约
plaintext
reset dhcp server binding all
AP 断电重启，重新申请 IP 进行复测。
三、加固方案（双重防护）
地址池内使用 forbidden-ip-range 排除静态段；
同时使用 IP-MAC 静态绑定保护核心静态设备；
全网部署 DHCP Snooping，防止非法 DHCP 服务器干扰。