Windows Server DHCP服务无法主动拦截非法客户端，仅能通过MAC白名单筛选、DHCP选项控制、网络设备协同及DHCP策略实现间接限制。
windows server 的 dhcp 服务本身不提供“主动拦截非法客户端”的能力，它默认是无状态分配ip地址的协议服务。所谓“dhcp筛选器”并非原生功能，而是通过 策略限定 + 地址池控制 + 网络层配合 实现对非授权设备的间接限制。关键在于：不靠dhcp本身“拒绝”，而是让它“无法成功获取有效配置”。
利用DHCP作用域筛选器（基于MAC地址白名单）
Windows Server 2012 R2 及以后版本支持在作用域级别配置“允许/拒绝”MAC地址列表（即 DHCP 筛选器），这是最贴近“拦截”需求的原生机制：
- 打开“DHCP管理器” → 展开服务器 → 作用域 → 右键“筛选器” → 启用“启用网络访问保护（NAP）”或直接配置“允许列表”
- 添加合法设备的MAC地址（支持通配符如 00-11-22-*，但不推荐过度使用）
- 启用“仅允许列表中的客户端获取地址”，此时未登记MAC的客户端仍会发送DHCP Discover，但服务器不会响应Offer
- 注意：该筛选仅作用于IPv4作用域；若存在多个作用域（如不同VLAN），需分别配置
结合DHCP选项与客户端行为控制
即使非法客户端绕过MAC筛选（如伪造MAC），也可通过DHCP选项削弱其可用性：
- 在作用域选项中禁用或错误配置关键选项：如不提供网关（003）、DNS服务器（006）、域名（015）——客户端虽获IP，但无法上网或解析域名
- 设置极短租期（如300秒）并关闭地址续订提醒，使非法设备频繁重协商、易被日志捕获
- 配合DHCP审计日志（事件ID 1041/1042）定期导出异常MAC、频繁请求IP的客户端，用于后续排查
必须依赖网络基础设施协同生效
DHCP筛选器不是银弹，单靠Windows DHCP服务无法真正“阻断”物理接入：
- 交换机端口安全（Port Security）或802.1X认证才是第一道防线：限制端口学习MAC数量、绑定静态MAC、或强制认证后才放行DHCP流量
- 防火墙或NAC系统可识别DHCP请求源MAC+IP，联动阻断后续通信（如丢弃该IP所有流量）
- 若网络中存在未受管的傻瓜交换机或Hub，任何DHCP侧策略都可能被旁路——物理层管控不可替代
替代思路：使用DHCP策略（Server 2016+）实现动态条件过滤
比传统筛选器更灵活，支持基于客户端标识（如DHCP User Class、Vendor Class）、IP范围、甚至AD组成员身份做差异化分配：
- 例如创建策略：“当Client ID包含‘HR-Laptop’且来自VLAN10时，分配192.168.10.0/24网段”
- 对未知设备统一匹配默认策略，只给保留地址段（如169.254.x.x）或指向空路由网关，使其“有IP无连通性”
- 策略优先级高于作用域筛选器，建议作为主要控制手段，尤其在混合终端环境中
