windows无dhcp侦听功能，正确做法是：1.在dhcp服务器属性中仅绑定目标网卡ip；2.只为需服务子网创建并启用作用域；3.可配合防火墙限制udp 67端口入站范围。
windows 本身没有内置的“dhcp 侦听”（dhcp snooping）功能——那是交换机或 olt 等网络设备层面的安全机制，用于过滤非法 dhcp 响应、防止私设 dhcp 服务器。windows 的 dhcp 服务（即 windows server 自带的 dhcp 服务器角色）不提供网卡级的“侦听控制”或“仅允许某物理网卡响应 dhcp 请求”这类细粒度绑定能力。
但如果你的目标是：
✅ 让 Windows DHCP 服务器只在指定物理网卡所在的子网内分配地址，
✅ 避免因多网卡环境导致地址错误广播到其他网络（如跨 VLAN 或管理网泄露），
✅ 实际起到“隔离 DHCP 服务范围、防地址泄露”的效果——
那么正确做法是通过 DHCP 作用域绑定 + 服务绑定配置来实现，而非“侦听网卡”。
? 1. 确保 DHCP 服务仅绑定到目标网卡的 IP 地址
Windows DHCP 服务器默认监听所有 IPv4 接口。要限制它只响应特定网段的请求，需显式指定其绑定的 IP 地址：
- 打开 DHCP 控制台（dhcpmgmt.msc）
- 右键服务器名 → 属性 → 切换到 高级 选项卡
- 勾选 ✅ 仅在以下 IP 地址上侦听客户端请求
- 在下方列表中只保留目标网卡的实际 IPv4 地址（例如
192.168.10.1），删除其他网卡的 IP（如管理网10.0.1.5、公网203.0.113.10等）
⚠️ 注意：该 IP 必须已配置在对应物理网卡上，且与你要服务的作用域网段一致（如作用域是
192.168.10.0/24，则此处必须填192.168.10.x）。
? 2. 为每个网卡子网创建独立作用域，并禁用无关作用域
- 在 DHCP 控制台中，只为需要提供服务的子网创建作用域（如
192.168.10.0/24） - 对其他网卡连接的网络（如
10.0.1.0/24），不要创建作用域，或创建后右键 → 停用 - 即使某网卡有 IP，只要没对应作用域，DHCP 服务就不会向该网段分配地址
✅ 这是最直接防止“跨网段地址泄露”的方式：没有作用域 = 没有地址可分。
? 3. （可选）配合防火墙限制 DHCP 流量入口
若仍担心 rogue 客户端从非目标网卡发起请求（极少见，但增强防护）：
- 打开 高级安全 Windows 防火墙
- 新建入站规则 → 协议类型选 UDP，端口 67（DHCP Server）
- 在“作用域”页 → “本地 IP 地址”中，仅勾选目标网卡的 IP
- 同样，在“远程 IP 地址”中可限制为对应子网（如
192.168.10.0/24）
这样，即使 DHCP 服务意外监听了多 IP，防火墙也会丢弃来自非授权网卡/子网的 DHCP Discover 请求。
❌ 不可行的操作（常见误解）
- 试图在 DHCP 控制台里“选择监听网卡”：无此界面选项
- 修改注册表强行绑定网卡名（如
Ethernet）：DHCP 服务不识别接口名称，只认 IP 地址 - 启用“DHCP 侦听”功能：Windows Server DHCP 角色不含 DHCP Snooping，该功能属于二层交换设备（如 Cisco、华为、OLT）
✅ 总结关键动作
- 在 DHCP 服务器属性中，仅绑定目标网卡的 IP 地址
- 只为需服务的子网创建并启用作用域，其余一律不建或停用
- 可叠加防火墙规则限制 UDP 67 入口 IP 范围，形成双重保险
- 若需真正意义上的 DHCP 侦听（拦截非法 Offer/ACK），应在接入交换机或 OLT 上配置 DHCP 监听（DHCP Snooping）+ IP Source Guard，而非 Windows 系统侧
