windows server（2012及以上）在域环境中启用dhcp服务器角色并授权后，可通过注册表开启非法dhcp检测，每60分钟自动扫描，结果见“非法服务器”文件夹及事件id 1042/1046。
windows 本身不主动扫描非法 dhcp 服务器，但 windows server 的 dhcp 服务角色具备内置检测能力——前提是部署在域环境中并正确启用。普通 windows 客户端（如 win10/win11）无法独立检测，只能通过现象（如获取到错误网关、dns 或反复出现 apipa 地址）间接怀疑存在非法 dhcp。
确认是否具备检测条件
只有运行 Windows Server（2012 及以上）且已部署 DHCP 服务器角色的机器，才可能启用该功能。需同时满足：
- DHCP 服务器是 Active Directory 域成员，并以 Enterprise Admin 权限完成“授权”操作（右键服务器 → “授权”）
- 注册表中启用探测：打开 HKLM\SYSTEM\CurrentControlSet\Services\DHCPServer\Parameters，新建 DWORD 值 DetectUnauthorizedServers，设为 1
- 确保服务器能向本地子网广播（即未被防火墙或交换机 ACL 阻断 UDP 67/68）
手动触发与结果查看
默认每 60 分钟自动探测一次，也可主动验证：
- 重启 DHCP Server 服务，或等待下一轮扫描
- 打开“DHCP 控制台” → 展开服务器节点 → 查看“地址空间”下的“非法服务器”文件夹，会列出响应 DHCP Discover 的非授权 IP 和首次发现时间
- 检查事件日志：Applications and Services Logs > Microsoft > Windows > DHCP-Server > Administrative，筛选事件 ID 1042（发现非法服务器）和 1046（重复发现）
定位并清除非法源
查到可疑 IP 后，不能仅靠禁用，需现场核实：
- 用 arp -a | findstr "x.x.x.x" 获取其 MAC 地址，再比对路由器后台“已连接设备”列表
- 重点排查：员工私接的家用路由器（LAN 口误接主网）、Wi-Fi 扩展器、手机热点（开启“便携式热点”时可能广播 DHCP）、VMware/VirtualBox 虚拟网络适配器（NAT 模式下默认启 DHCP）
- 若确认是非法设备，登录其管理界面关闭 DHCP 功能；若无法访问，直接物理断网
客户端侧辅助判断方法
当没有 Windows Server 环境时，可通过终端现象快速初筛：
- 运行 ipconfig /all，查看“DHCP 服务器”字段：若显示的不是你单位/家庭路由器的 IP（如显示 192.168.0.1，而主路由是 192.168.1.1），大概率存在第二台 DHCP
- 多台设备同时获得 169.254.x.x 地址（APIPA），说明 DHCP 请求无人响应，可能是合法服务宕机，也可能是非法服务干扰导致 Offer 丢失
- 用 netstat -anb 查看本机是否有非系统进程监听 UDP 67/68 端口（如某些远程管理工具或旧版虚拟机软件残留服务）
