关键字	DHCP、DHCP Snooping、trust、地址获取失败
产品	S5735-L48T4X-A
故障类型	配置类故障
应用场景	故障处理

问题描述

组网概述：核心交换机S12700E作为DHCP服务器（全局地址池），通过Eth-Trunk下联S5735-L48T4X-A接入交换机，终端从接入交换机接入。

故障现象：在S5735全局及VLAN启用DHCP Snooping后，该交换机下挂终端获取不到IP地址（获取结果为169.254.x.x自动私有地址）；连接核心交换机直接下联端口的终端获取正常，说明DHCP服务器本身工作正常。

复现条件：终端重连或ipconfig /release后重新ipconfig /renew，均无法获取。

告警信息

%DHCP/4/DHCP_NOT_TRUSTED: The dhcp packet received from interface GigabitEthernet0/0/48 is discarded because the interface is untrusted.

处理过程

1. 在终端抓包确认：DHCP Discover发出、无Offer返回，初步判断上行DHCP报文被中间设备丢弃；

2. 在S5735上查看DHCP Snooping配置：display dhcp snooping configuration，发现全局和VLAN已使能Snooping，但所有端口均为默认untrusted状态，上联口Eth-Trunk1未配置trust；

3. 查看丢弃统计：display dhcp snooping statistics，上联口收到的Offer/ACK报文被大量丢弃，与告警日志一致；

4. 在上联口配置 dhcp snooping trusted，并保留用户端口untrusted（防私设DHCP服务器）；

5. 终端重新ipconfig /renew，秒级获取到正确IP地址，多楼层抽测均正常。

根因

使能DHCP Snooping后，所有端口默认为untrusted，合法DHCP服务器经上联口返回的Offer/ACK报文被丢弃，导致终端获取不到IP地址。

解决方案

1. 上联口（Eth-Trunk1）配置 dhcp snooping trusted；

2. 用户端口保持untrusted，实现防私设DHCP服务器功能；

3. 验证终端可正常获取地址后闭环。

建议与总结

• 启用DHCP Snooping的标准动作是"三步"：全局使能→VLAN使能→上行口trust，缺一不可；
• 变更后应立即抽测终端获取地址情况，避免批量影响；
• 经验总结：终端获取不到IP时，按"终端抓包→中间设备丢包统计→Snooping trust配置"顺序排查，可快速定位；DHCP Snooping相关的discard日志通常直接指向根因。