DHCP – Grundlagen

Was ist DHCP und warum brauchst du es?

Stell dir vor, du hast ein Büro mit 50 Mitarbeitenden. Jedes Gerät – PC, Laptop, Drucker, Smartphone – braucht eine eindeutige IP-Adresse im Netzwerk. Die kannst du entweder auf jedem Gerät manuell eintragen, oder du lässt das ein DHCP-Server für dich erledigen.

DHCP steht für Dynamic Host Configuration Protocol. Es ist ein Netzwerkdienst, der neu verbundenen Geräten automatisch zuweist:

• Eine IP-Adresse (z.B. 192.168.1.42)
• Die Subnetzmaske (z.B. 255.255.255.0)
• Das Standard-Gateway (z.B. 192.168.1.1 – dein Router)
• Einen oder mehrere DNS-Server (z.B. 192.168.1.10)
• Optional: Domain-Name, NTP-Server, u.v.m.

Ohne DHCP müsstest du bei jedem neuen Gerät manuell IP-Konfigurationen eintragen. Das kostet Zeit, ist fehleranfällig und führt schnell zu doppelt vergebenen Adressen (IP-Konflikten). Im KMU-Alltag ist DHCP daher unverzichtbar.

Der DORA-Prozess – so funktioniert DHCP

Der Ablauf, wenn ein Gerät eine IP-Adresse anfordert, läuft in vier Schritten ab. Die Merkhilfe: DORA.

Nach diesem Handshake hat das Gerät eine gültige IP-Konfiguration und kann kommunizieren.

Lease-Verlängerung

Eine DHCP-Zuteilung ist zeitlich begrenzt (die Lease-Zeit). Windows-Clients versuchen automatisch, ihre IP-Adresse zu verlängern:

• Nach 50 % der Lease-Zeit: Unicast-Anfrage direkt an den ursprünglichen DHCP-Server
• Nach 87,5 % der Lease-Zeit: Broadcast an jeden erreichbaren DHCP-Server (Rebind)
• Läuft die Lease ab und kein Server antwortet: Gerät verliert die IP-Adresse

DHCP kommuniziert über UDP-Port 67 (Server) und UDP-Port 68 (Client).

Wichtige DHCP-Begriffe im Überblick

Statisch vs. DHCP – wann was?

Nicht jedes Gerät sollte über DHCP eine Adresse beziehen. Faustregel:

DHCP-Relay (IP-Helper) – DHCP über VLAN-Grenzen hinweg

Ein DHCP-Discover ist ein Layer-2-Broadcast (Ziel 255.255.255.255). Broadcasts werden von Routern und Layer-3-Switches nicht weitergeleitet, sie enden am eigenen VLAN. Sobald du also mehrere VLANs betreibst (siehe VLAN – Grundlagen) und nur einen zentralen DHCP-Server hast, brauchst du in jedem VLAN ohne eigenen DHCP-Server einen Relay Agent – oft auch IP-Helper genannt.

Der Relay Agent läuft auf dem Layer-3-Gerät, das als Gateway für das jeweilige VLAN dient: ein Router-Interface oder eine SVI auf einem L3-Switch (siehe Routing – Grundlagen). Er fängt den Broadcast ab, verpackt ihn als Unicast-Paket und leitet ihn direkt an den DHCP-Server weiter. Dabei trägt er die eigene Interface-Adresse ins Feld giaddr (Gateway IP Address) des DHCP-Pakets ein – daran erkennt der Server, für welches Subnetz er eine Adresse vergeben muss.

Konfiguration auf Cisco IOS

interface Vlan20
 description Workstations-VLAN
 ip address 192.168.20.1 255.255.255.0
 ip helper-address 192.168.1.10

ip helper-address leitet standardmässig nicht nur DHCP, sondern auch weitere Broadcast-Dienste weiter (u.a. DNS, TFTP, NetBIOS). Mehrere Adressen sind möglich, etwa bei redundanten DHCP-Servern:

interface Vlan20
 ip helper-address 192.168.1.10
 ip helper-address 192.168.1.11

Troubleshooting über VLAN-Grenzen

Ein Klassiker im Support: Clients im Serverraum-VLAN bekommen problemlos eine IP, Clients im neuen Produktions-VLAN hängen auf einer APIPA-Adresse fest. Checkliste:

1. Ist am Interface bzw. an der SVI überhaupt ein ip helper-address konfiguriert? Ohne Relay kommt der Broadcast nie über die VLAN-Grenze.
2. Existiert für das Ziel-Subnetz ein passender Scope auf dem DHCP-Server? Der Server erkennt anhand von giaddr, aus welchem Scope er vergeben soll – fehlt der Scope, bleibt die Anfrage unbeantwortet oder wird mit einem NAK quittiert.
3. Blockiert eine ACL oder Firewall zwischen den Segmenten den Traffic? Die Relay-Kommunikation läuft als Unicast auf UDP-Port 67 in beide Richtungen (Relay zu Server und zurück), nicht über Port 68.
4. Mitschnitt mit Wireshark: Im Trace am Relay-Interface ist das Feld giaddr gefüllt; steht dort 0.0.0.0, hat das Paket den Relay Agent gar nicht durchlaufen. Details zum Mitschneiden findest du unter Wireshark – Grundlagen.

DHCP auf Windows Server konfigurieren

In einer Active Directory-Umgebung installierst du die DHCP-Rolle über den Server Manager oder per PowerShell.

Rolle installieren

# DHCP-Serverrolle installieren
Install-WindowsFeature -Name DHCP -IncludeManagementTools

# DHCP-Server in Active Directory autorisieren
Add-DhcpServerInDC -DnsName "server01.firma.local" -IPAddress 192.168.1.10

Scope erstellen

# Neuen Scope erstellen
Add-DhcpServerv4Scope `
  -Name "Hauptbüro" `
  -StartRange 192.168.1.100 `
  -EndRange 192.168.1.200 `
  -SubnetMask 255.255.255.0 `
  -LeaseDuration 8.00:00:00

# DHCP-Optionen setzen (Router, DNS)
Set-DhcpServerv4OptionValue -ScopeId 192.168.1.0 `
  -Router 192.168.1.1 `
  -DnsServer 192.168.1.10 `
  -DnsDomain "firma.local"

# Exclusion für statische Server-IPs
Add-DhcpServerv4ExclusionRange -ScopeId 192.168.1.0 `
  -StartRange 192.168.1.1 `
  -EndRange 192.168.1.20

Reservation für einen Drucker anlegen

# MAC-Adresse des Druckers ermitteln (am Gerät oder per ARP)
# Reservation erstellen
Add-DhcpServerv4Reservation `
  -ScopeId 192.168.1.0 `
  -IPAddress 192.168.1.50 `
  -ClientId "00-11-22-33-44-55" `
  -Description "Netzwerkdrucker Empfang"

Bestehende Leases anzeigen

# Alle aktiven Leases im Scope anzeigen
Get-DhcpServerv4Lease -ScopeId 192.168.1.0

# Alle Reservations anzeigen
Get-DhcpServerv4Reservation -ScopeId 192.168.1.0

Superscopes für mehrere logische Subnetze

Ein normaler Scope deckt genau ein IP-Subnetz ab. Manchmal reicht der Adressraum eines Subnetzes aber nicht mehr aus – etwa wenn ein Bürogebäude über die Jahre deutlich mehr Geräte bekommen hat, als das ursprüngliche /24-Netz hergibt. Statt das ganze Netzwerk umzustrukturieren, kannst du ein zweites logisches Subnetz auf demselben physischen Segment einführen (“Multinetting”) und beide Scopes über einen Superscope zusammenfassen.

Der DHCP-Server behandelt die enthaltenen Scopes weiterhin einzeln – mit eigenen Exclusions, Reservations und Optionen – vergibt aber Adressen aus beiden, sobald eine Anfrage über dasselbe Relay-Interface (giaddr) hereinkommt.

# Zwei Scopes fuer dasselbe physische Segment anlegen
Add-DhcpServerv4Scope -Name "Buero-Alt" -StartRange 192.168.1.100 -EndRange 192.168.1.250 -SubnetMask 255.255.255.0
Add-DhcpServerv4Scope -Name "Buero-Neu" -StartRange 192.168.2.10 -EndRange 192.168.2.250 -SubnetMask 255.255.255.0

# Beide Scopes zu einem Superscope zusammenfassen
Add-DhcpServerv4Superscope -SuperscopeName "Buero-Gesamt" -ScopeId 192.168.1.0, 192.168.2.0

# Auslastung des Superscope pruefen
Get-DhcpServerv4SuperscopeStatistics -SuperscopeName "Buero-Gesamt"

Typische Einsatzszenarien: Der Adressraum eines Segments ist erschöpft, eine schrittweise Migration auf ein neues Subnetz läuft gerade, oder mehrere physische Netze landen am selben Relay-Interface.

Policy-based Assignment – DHCP Policies nach Gerätetyp

Seit Windows Server 2012 kann der DHCP-Server Clients nicht nur pauschal nach Scope behandeln, sondern anhand von Kriterien wie MAC-Adress-Präfix, Vendor Class (Option 60), User Class oder Relay-Agent-Informationen unterschiedliche IP-Bereiche, Optionen oder Lease-Zeiten zuweisen – ganz ohne für jeden Gerätetyp einen eigenen Scope oder ein eigenes VLAN anzulegen.

Praxisbeispiel: VoIP-Telefone sollen einen eigenen IP-Bereich innerhalb des bestehenden Scope bekommen, eine kürzere Lease-Zeit (Telefone laufen dauerhaft, frei werdende Adressen sollen aber schnell zurück in den Pool) und einen abweichenden TFTP-Boot-Server (Option 66):

# Vendor Class des Telefon-Herstellers registrieren (Wert per Paketmitschnitt ermitteln, je Hersteller unterschiedlich)
Add-DhcpServerv4Class -Name "IP-Phones" -Type Vendor -Data "Yealink SIP-T4"

# Policy im Scope anlegen: alle Geraete mit dieser Vendor Class matchen
Add-DhcpServerv4Policy -Name "VoIP-Telefone" -ScopeId 192.168.1.0 `
  -Condition OR -VendorClass EQ,"IP-Phones" `
  -LeaseDuration 04:00:00 `
  -Description "VoIP-Telefone im Buero"

# Eigenen IP-Bereich innerhalb des Scope fuer diese Policy reservieren
Add-DhcpServerv4PolicyIPRange -ScopeId 192.168.1.0 -Name "VoIP-Telefone" `
  -StartRange 192.168.1.210 -EndRange 192.168.1.230

# Policy-spezifische Option setzen (TFTP-Boot-Server nur fuer die Telefone)
Set-DhcpServerv4OptionValue -ScopeId 192.168.1.0 -PolicyName "VoIP-Telefone" -OptionId 66 -Value "192.168.1.20"

Weitere gängige Kriterien für Policies:

DHCP-Diagnose am Client – die wichtigsten Befehle

Diese Befehle brauchst du täglich im Support:

# Aktuelle IP-Konfiguration anzeigen (inkl. DHCP-Server und Lease-Ablauf)
ipconfig /all

# DHCP-Lease freigeben
ipconfig /release

# Neue IP-Adresse vom DHCP-Server anfordern
ipconfig /renew

Unter PowerShell gibt es erweiterte Möglichkeiten:

# Netzwerkadapter mit IP-Adressen anzeigen
Get-NetIPConfiguration

# Spezifischen Adapter anzeigen
Get-NetIPAddress -InterfaceAlias "Ethernet"

# Verbindungstest zum DHCP-Server (Port 67)
Test-NetConnection -ComputerName 192.168.1.10 -Port 67

Typische DHCP-Probleme und Lösungen

Problem: “Keine gültige IP-Konfiguration” / APIPA-Adresse (169.254.x.x)

Das Gerät hat keinen DHCP-Server erreicht. Mögliche Ursachen:

1. Kabel / WLAN-Verbindung prüfen: Leuchtet die Link-LED am Port? Ist das WLAN verbunden?
2. DHCP-Dienst auf dem Server: Läuft der Dienst?

   Get-Service -Name DHCPServer
   Restart-Service -Name DHCPServer

3. Scope erschöpft: Alle IPs im Scope sind vergeben. Scope erweitern oder Lease-Zeit verkürzen.
4. DHCP-Relay nicht konfiguriert: Wenn Client und Server in verschiedenen VLANs sind, muss ein IP-Helper/Relay-Agent konfiguriert sein.
5. Windows Firewall blockiert: UDP 67/68 muss erlaubt sein.

Problem: Doppelte IP-Adressen (IP-Konflikt)

Ursache: Eine statisch konfigurierte IP liegt im DHCP-Scope und wurde vergeben.

Lösung:

• Statische IP aus dem Scope herausnehmen (Exclusion anlegen)
• Oder auf dem Gerät mit statischer IP die Adresse ausserhalb des Scope-Bereichs legen

# Prüfen, ob eine IP bereits als Lease vergeben ist
Get-DhcpServerv4Lease -ScopeId 192.168.1.0 | Where-Object {$_.IPAddress -eq "192.168.1.50"}

Problem: Gerät bekommt immer eine andere IP

Das ist Absicht bei dynamischem DHCP – aber stört bei Druckern oder Servern. Lösung: Reservation anlegen (siehe oben).

Problem: DHCP-Server nicht autorisiert in AD

In einer AD-Umgebung müssen DHCP-Server explizit autorisiert werden. Ein nicht autorisierter Server startet zwar, verteilt aber keine Leases.

# Autorisierte DHCP-Server anzeigen
Get-DhcpServerInDC

# Server autorisieren
Add-DhcpServerInDC -DnsName "server01.firma.local"

Problem: DHCP-Logs auswerten

Windows Server schreibt DHCP-Ereignisse in Log-Dateien:

# DHCP-Audit-Logs öffnen (Standard-Pfad)
Get-ChildItem "C:\Windows\System32\dhcp\DhcpSrvLog-*.log" | Select-Object -Last 1 | Get-Content

# Oder im Event-Log nach DHCP-Ereignissen suchen
Get-WinEvent -ProviderName "Microsoft-Windows-DHCP-Server" -MaxEvents 50

DHCP Snooping – Rogue-DHCP-Server auf Netzwerkebene blockieren

Die Autorisierung in Active Directory (siehe oben) schützt nur vor anderen Windows-DHCP-Servern im selben Wald. Sie hilft nicht gegen einen mitgebrachten Consumer-Router, eine falsch konfigurierte Test-VM mit aktivem Hyper-V- oder VMware-DHCP, oder ein Notebook mit aktivierter Internetfreigabe – alles potenzielle Rogue-DHCP-Server, die Clients mit falschem Gateway oder DNS versorgen und den Netzwerkverkehr umleiten oder lahmlegen können.

Der wirksame Schutz dagegen sitzt auf dem Switch: DHCP Snooping. Der Switch unterscheidet zwischen trusted-Ports (Richtung legitimer DHCP-Server oder Uplink) und untrusted-Ports (Richtung Access-Geräte). DHCP-Server-Antworten (Offer, Ack, Nak) werden nur von trusted-Ports akzeptiert – kommen sie von einem untrusted-Port, verwirft der Switch sie kommentarlos. Nebenbei baut der Switch eine Snooping-Binding-Tabelle (MAC, IP, VLAN, Port, Lease-Restzeit) auf, die auch als Grundlage für IP Source Guard und Dynamic ARP Inspection dient.

Cisco IOS

Switch(config)# ip dhcp snooping
Switch(config)# ip dhcp snooping vlan 10,20,30
Switch(config)# interface GigabitEthernet1/0/1
Switch(config-if)# description Uplink-zum-DHCP-Server
Switch(config-if)# ip dhcp snooping trust
Switch(config-if)# exit
Switch(config)# do show ip dhcp snooping

Alle Ports gelten standardmässig als untrusted, sobald DHCP Snooping global aktiviert ist – nur der Uplink zum echten DHCP-Server oder Relay wird explizit als trusted markiert. Plane die Aktivierung ausserhalb der Kernarbeitszeit ein: Bis alle nötigen Ports als trusted markiert sind, laufen DHCP-Anfragen ins Leere.

Aruba (AOS-CX)

switch(config)# dhcp-snooping
switch(config)# dhcp-snooping vlan 10,20,30
switch(config)# dhcp-snooping authorized-server 192.168.1.10
switch(config)# interface 1/1/1
switch(config-if)# dhcp-snooping trust
switch(config-if)# exit
switch(config)# show dhcp-snooping

Aruba erlaubt zusätzlich, die IP-Adresse des legitimen DHCP-Servers explizit als authorized-server einzutragen – Antworten von jedem anderen Server werden dann verworfen, selbst wenn sie über einen trusted-Port hereinkommen.

DHCP-Failover – Hochverfügbarkeit einrichten

Wenn dein einziger DHCP-Server ausfällt, bekommt kein Gerät mehr eine IP-Adresse. Neue Leases schlagen fehl, bestehende Leases laufen irgendwann ab. Abhilfe: DHCP-Failover.

# Failover zwischen zwei Servern konfigurieren (Hot Standby)
Add-DhcpServerv4Failover `
  -Name "Failover-Hauptbuero" `
  -PartnerServer "server02.firma.local" `
  -ScopeId 192.168.1.0 `
  -Mode HotStandby `
  -ServerRole Active `
  -StandbyPercent 10

Im Hot-Standby-Modus übernimmt der zweite Server automatisch, wenn der primäre Server nicht mehr erreichbar ist.

Migration: DHCP-Datenbank exportieren und importieren

Beim Wechsel auf einen neuen Server (Hardware-Tausch, OS-Upgrade) musst du nicht jeden Scope von Hand nachbauen. Seit Windows Server 2012 gibt es dafür die Cmdlets Export-DhcpServer und Import-DhcpServer – sie sichern die komplette Konfiguration (und optional die aktiven Leases) in eine XML-Datei.

# Auf dem alten Server: Konfiguration inkl. aktiver Leases exportieren
Export-DhcpServer -ComputerName "dhcp-alt.firma.local" -Leases -File "C:\Temp\dhcp-export.xml"

# Export-Datei zum neuen Server kopieren, dann dort importieren
Import-DhcpServer -ComputerName "dhcp-neu.firma.local" -Leases `
  -File "C:\Temp\dhcp-export.xml" -BackupPath "C:\Temp\dhcp-backup"

# Alten Server in AD deautorisieren, damit er keine Leases mehr vergibt
Remove-DhcpServerInDC -DnsName "dhcp-alt.firma.local" -IPAddress 192.168.1.10

# Neuen Server autorisieren
Add-DhcpServerInDC -DnsName "dhcp-neu.firma.local" -IPAddress 192.168.1.11

Mit dem Parameter -ScopeId lässt sich bei beiden Cmdlets auch nur ein einzelner Scope selektiv migrieren, statt die ganze Serverkonfiguration zu übertragen.

Für die Doku im Rahmen einer Migration lohnt sich zusätzlich ein Blick in IT-Dokumentation & Inventar – Scope-Übersicht, Reservations und Exclusions gehören in die Netzwerk-Dokumentation, bevor der alte Server abgeschaltet wird.

DHCP und DNS-Integration (Dynamic DNS)

Windows Server DHCP kann automatisch DNS-Einträge aktualisieren, wenn eine Lease vergeben oder erneuert wird. Damit hat jedes Gerät nicht nur eine IP, sondern ist auch per Hostname erreichbar:

# DNS-Dynamik-Update für Scope aktivieren
Set-DhcpServerv4DnsSetting -ScopeId 192.168.1.0 `
  -DynamicUpdates Always `
  -DeleteDnsRROnLeaseExpiry $true

Das ist besonders nützlich in AD-Umgebungen: Clients sind danach per hostname.firma.local erreichbar, ohne dass du DNS-Einträge manuell pflegen musst.

Monitoring: Scope-Statistiken automatisiert prüfen

Ein Scope, der zu 95 % ausgelastet ist, sollte auffallen, bevor er zu 100 % ausgelastet ist und neue Geräte keine IP mehr bekommen. Get-DhcpServerv4ScopeStatistics liefert dafür alle nötigen Kennzahlen pro Scope, inklusive des Werts PercentageInUse.

# Auslastung aller Scopes auf einem Server anzeigen
Get-DhcpServerv4ScopeStatistics -ComputerName dhcp01.firma.local

# Nur kritische Scopes anzeigen (mehr als 80 % belegt)
Get-DhcpServerv4ScopeStatistics -ComputerName dhcp01.firma.local |
  Where-Object { $_.PercentageInUse -gt 80 } |
  Select-Object ScopeId, Free, InUse, PercentageInUse

Für den Alltag lohnt sich ein kleines Skript, das täglich per Task Scheduler läuft und bei kritischen Scopes eine Warnung verschickt:

$kritisch = Get-DhcpServerv4ScopeStatistics -ComputerName dhcp01.firma.local |
    Where-Object { $_.PercentageInUse -gt 85 }

if ($kritisch) {
    Send-MailMessage -To "it-team@firma.local" -From "dhcp-monitor@firma.local" `
        -Subject "Warnung: DHCP-Scope fast ausgelastet" `
        -SmtpServer "mail.firma.local" `
        -Body ($kritisch | Format-Table ScopeId, Free, PercentageInUse -AutoSize | Out-String)
}

Mehr zu robusten Skripten (Fehlerbehandlung, Logging, Wiederverwendbarkeit) findest du unter PowerShell-Scripting vertieft, und zum Aufbau von Monitoring generell unter Monitoring – Grundlagen.

Weiterlernen

• DHCP-Server in Windows Server – Microsoft Learn (Deutsch)
• Leitfaden zur Problembehandlung für DHCP – Microsoft Learn
• DHCP-Failover konfigurieren – Microsoft Learn
• DHCP-Server migrieren – Microsoft Learn
• Add-DhcpServerv4Policy – Microsoft Learn
• ip helper-address konfigurieren – Cisco Community
• RFC 2131 – DHCP-Spezifikation (englisch)
• DHCP erklärt – ProSec Networks Blog

Verwandte Themen: DNS – Grundlagen · TCP/IP Grundlagen · VLAN – Grundlagen · Routing – Grundlagen · Active Directory – Grundlagen · Monitoring – Grundlagen · Troubleshooting-Methodik