Windows DHCP服务器不记录用户登录，仅记录IP分配行为；日志默认关闭，需手动启用并设置级别，文件存于C:\Windows\System32\dhcp\，按星期命名；每条日志含时间、事件ID、IP、MAC及操作类型；关键ID如10（地址耗尽）、11（续租失败）、14（未响应DISCOVER）、50（检测到非法DHCP服务器）；需结合交换机MAC表等网络层数据交叉验证定位问题。
windows dhcp 服务器本身不记录“用户登录”，只记录 ip 地址分配行为。所谓“地址分配日志”，就是 dhcp 服务在分发、续租、释放、拒绝 ip 地址时生成的操作记录，是排查网络异常（如 ip 冲突、地址耗尽、非法服务器）的核心依据。
确认日志功能是否启用
DHCP 审核日志默认关闭，必须手动开启： - 打开“DHCP 控制台” → 右键本地服务器 → “属性” → 切换到“日志”选项卡 - 勾选“启用 DHCP 日志记录” - 日志级别建议选“信息性”（日常监控）或“详细”（故障深度排查） - 日志文件自动存放在：C:\Windows\System32\dhcp\，按星期缩写命名，如 `DhcpSrvLog-Mon.log`快速定位关键日志内容
每条日志包含时间戳、事件 ID、IP 地址、客户端 ID（通常是 MAC 地址）、操作类型（分配/续租/释放/拒绝）。常用筛选方式： - 用记事本或 PowerShell 打开对应日期的 `.log` 文件 - 搜索关键词：`重点事件 ID 与对应含义
不同事件 ID 直接反映分配异常类型，需结合上下文判断： - ID 10：无可用地址 → 检查作用域范围、排除地址段、已租出数量（右键作用域 → “显示统计信息”） - ID 11：续租失败 → 可能发生 IP 冲突，需配合抓包查 ARP 响应 - ID 14：收到 DISCOVER 但未响应 → 查作用域是否激活、是否启用了基于客户端 ID 或 MAC 的筛选策略 - ID 50：检测到同子网存在其他 DHCP 服务器 → 立即物理断网排查 rogue 设备联动网络层证据交叉验证
单看 DHCP 日志无法定位物理设备，必须结合其他数据源： - 从日志中提取异常 MAC 地址，在接入交换机上执行 `show mac address-table | include不复杂但容易忽略
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
