Windows Server DHCP服务器可检测非法DHCP服务器，但需域环境、授权及注册表启用DetectUnauthorizedServers=1，默认每60分钟广播Discover探测并记录事件ID 1042/1046。
windows server 自带的 dhcp 服务器具备检测网络中非法 dhcp 服务器（即未授权、非域内、非管理员部署的 dhcp 服务）的能力，但该功能默认不启用，需手动配置并依赖 active directory 域环境。
什么是非法 DHCP Server
非法 DHCP Server 指未经网络管理员授权，在同一广播域内响应 DHCP Discover 请求的设备。它可能是一台被误配置的路由器、员工私自接入的家用路由器、虚拟机中的 DHCP 服务，或恶意设备。这类服务会分配错误 IP、网关或 DNS，导致客户端无法上网、IP 冲突、中间人攻击等严重问题。
Windows DHCP 服务器如何检测非法服务器
Windows DHCP 服务通过“DHCP 探测（DHCP Snooping-like）”机制实现检测，核心是：在启动或定期轮询时，向本地子网广播 DHCP Discover 数据包，并监听所有响应。若收到非本机（且未在 AD 中授权）的 Offer 响应，则判定存在非法 DHCP 服务器。
- 该机制仅在 DHCP 服务器角色已加入 Active Directory 域且完成授权后生效
- 探测使用的是真实 DHCP 协议报文（UDP 67/68），不依赖 ICMP 或 SNMP
- 默认每 60 分钟自动扫描一次；也可手动触发检测
- 检测结果记录在 Windows 事件日志（事件 ID 1042、1046）及 DHCP 控制台“地址空间”→“非法服务器”节点中
启用与验证非法 DHCP 检测
确保以下步骤全部完成，检测功能才真正可用：
- 域环境前提：DHCP 服务器必须是域成员，且以 Enterprise Admin 权限登录执行授权操作
- 授权 DHCP 服务器：在“DHCP 控制台”右键服务器名 → “授权”，等待 AD 复制完成（通常几秒到几分钟）
- 启用自动检测：注册表路径 HKLM\SYSTEM\CurrentControlSet\Services\DHCPServer\Parameters，新建 DWORD 值 DetectUnauthorizedServers，设为 1
-
手动触发检测：PowerShell 运行
Invoke-DhcpServerv4PolicyEvaluation -ComputerName "YourDHCPServer"（仅部分版本支持），更通用方式是重启 DHCP 服务或等待下一轮自动扫描
检测到非法服务器后的处理建议
控制台中“非法服务器”列表显示 IP 和首次发现时间，但不会自动禁用或告警推送，需人工介入：
- 确认该 IP 是否为已知设备（如测试用虚拟机、IoT 网关），避免误判
- 登录对应设备，关闭其 DHCP 功能；若为恶意设备，立即物理断网
- 在网络接入层（交换机）开启 DHCP Snooping，并将合法 DHCP 上联口设为 trusted，从源头抑制非法响应
- 结合网络监控工具（如 Wireshark 抓包过滤 bootp）交叉验证，定位非法服务 MAC 地址和物理端口
