Windows Server DHCP服务不记录用户登录，只记录IP租约操作；需在事件查看器“应用程序和服务日志 > Microsoft > Windows > DHCP-Server > Operational”中查看ID 1001（分配）、1002（续租）、1003（释放）等事件，结合MAC、IP和时间排查，并可导出CSV分析，必要时用C:\Windows\System32\dhcp\DhcpSrvLog-*.log审计日志交叉验证。
windows server 的 dhcp 服务本身不记录用户登录行为，只记录 ip 租约的分配、续租、释放等操作。要通过事件查看器排查租约分配日志，关键不是找“用户是谁”，而是确认“哪个 mac 地址在什么时间拿到了哪个 ip”，再结合事件 id 判断行为是否正常。
定位正确的事件日志位置
DHCP 服务器的操作类日志不在系统日志里，而是在专用通道中：
- 打开“事件查看器”（eventvwr.msc）
- 导航至：应用程序和服务日志 > Microsoft > Windows > DHCP-Server > Operational
- 这个通道记录的是运行时租约操作，比如 ASSIGN、RENEW、RELEASE，每条都含时间、IP、客户端 ID（即 MAC）、事件 ID
- 注意：DHCP 审核日志（.log 文件）和这里的 Operational 日志是两套机制，前者需手动启用、存为文本；后者默认开启、结构化更强，适合快速筛选
识别租约分配相关的关键事件 ID
Operational 日志中，以下 ID 直接对应租约生命周期动作：
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- ID 1001：客户端成功获取新租约（ASSIGN），日志中会明确写出 IP 和 Client ID（如 00-15-5D-01-02-03）
- ID 1002：客户端成功续租（RENEW），IP 不变，但租期更新
- ID 1003：客户端主动释放租约（RELEASE）
- ID 1004：服务器拒绝租约（DECLINE），通常因 IP 冲突被客户端检测到
- ID 1005：租约过期后自动回收（EXPIRE）
高效筛选与验证租约行为
直接在事件查看器中右键“Operational”日志 → “筛选当前日志”，填入条件更省力：
- 按事件 ID 筛选：输入 1001,1002,1003 查看完整租约流转
- 按计算机名或 IP 筛选：在“关键字”栏粘贴目标 IP（如 192.168.10.45）或 MAC（格式保持原样，如 00-15-5D-01-02-03）
- 按时间范围筛选：选“最近 24 小时”或自定义起止时间，避免滚动翻页
- 导出为 .csv：右键日志 → “将所有事件另存为”，选 CSV 格式，方便 Excel 排序查重、统计高频 MAC 或异常时间段
结合 DHCP 审计日志（.log 文件）交叉印证
Operational 日志不记录“无可用地址”或“检测到非法 DHCP 服务器”这类管理级事件，这些在审计日志里：
- 审计日志路径：C:\Windows\System32\dhcp\DhcpSrvLog-Sat.log（今天是星期六，对应 Sat）
- 用记事本或 PowerShell 打开，搜索关键词：ASSIGN 192.168.10.45 或 ID=10（地址池耗尽）、ID=50（rogue DHCP）
- 若 Operational 中看到大量 1001，但审计日志里频繁出现 ID 10，说明作用域快满，需扩容或清理保留项
