Windows DHCP服务器不支持客户端独占作用域，因其设计面向子网批量分配；可通过MAC保留、VLAN隔离、DHCP策略及网络层控制（如防火墙/NAC）组合实现客户端级隔离。
windows dhcp 服务器本身不支持“客户端独占的作用域”这种直接绑定单个客户端的原生功能。作用域（scope）面向的是整个子网或 ip 地址段，而非单台设备；dhcp 协议设计上就是为动态、批量分配地址服务的，不是为一对一隔离而设。
为什么不能直接配置“独占作用域”
DHCP 作用域本质是一组可租用的 IP 地址池 + 全局/作用域级选项（如 DNS、网关）。它不提供“仅限某台电脑使用该作用域”的强制访问控制能力。即使你只给一个客户端分配地址，其他客户端只要在同一广播域内发起 DHCP 请求，仍可能从同一作用域获取地址——除非额外施加网络层限制。
实现客户端级网络隔离的可行路径
真正达成“某客户端只能用特定地址池且与其他设备隔离”，需组合 DHCP 配置与底层网络策略：
- 基于 MAC 地址的地址保留（Reservation）：在作用域中为指定客户端的网卡 MAC 地址创建保留项，固定分配某个 IP。这确保它每次获得相同地址，但不阻止其他设备使用该作用域的其余地址。
- 配合 VLAN 划分：将目标客户端划分到独立 VLAN，再在 DHCP 服务器上为其 VLAN 子网单独创建一个作用域。这样该作用域物理上只对该 VLAN 生效，天然隔离。
- 启用 DHCP 筛选（Policy）：Windows Server 2012 及更新版本支持 DHCP 策略（Policy），可基于客户端 ID、MAC 地址、用户类（User Class）或 vendor class 等条件，决定是否响应请求、分配哪个作用域或设置特定选项。例如，创建一条策略：“当 MAC 地址为 XX-XX-XX-XX-XX-XX 时，仅允许从 Scope-B 分配地址”，并禁用该客户端对其他作用域的访问权限。
- 结合防火墙或 NAC（网络访问控制）：DHCP 分配地址后，通过 Windows 防火墙规则、802.1X 认证或第三方 NAC 系统，限制该客户端仅能访问指定资源，从通信层面完成隔离。
操作建议：用策略+保留+VLAN 三步落地
若目标是让一台测试机或高权限终端获得专属网络环境：
- 先在交换机侧为其端口划分专用 VLAN，并配置对应三层接口/IP 子网；
- 在 DHCP 服务器上新建一个仅服务于该 VLAN 的作用域（例如 192.168.100.0/24），不启用冲突检测，关闭路由器发现等非必要选项；
- 在此作用域内添加 MAC 地址保留，并创建 DHCP 策略，限定只有该 MAC 才能从此作用域获取地址；同时可在策略中设置不同 DNS、禁止 NetBIOS 等增强隔离效果。
注意绕过风险
单纯靠 DHCP 设置无法防绕过。客户端手动配置静态 IP 仍可接入网络。真正安全的隔离必须依赖网络基础设施（如 VLAN、ACL、802.1X）和终端管控（如组策略禁止手动设置 IP、启用网络策略服务器 NPS）共同实现。
