IP 地址管理

三种做法，只有一种能长期活

做法	短期	长期
全静态 IP	每台机器自己配，看起来最「可控」	难维护、易冲突、审计困难。地址和人、设备、岗位的对应关系全靠记忆，一出事全断
员工自行设置	最省事	等于没有管理。冲突、私接、改地址规避限制，全都防不住
DHCP 保留	按 MAC 自动分配固定 IP	IP 固定、集中管理、不易冲突、后期维护简单

选 DHCP 保留的理由不止是运维省事，更关键的是安全：IP ↔ 设备 ↔ 人 的对应关系是后续一切溯源的基础。日志里出现一个 IP，你要能在十秒内回答「这是谁的机器」。全静态或放任自管的环境里，这个对应关系在第一次人员变动时就断了，往后所有基于 IP 的审计、阻断、关联分析全部失准。

这套关系在后续的安全基线和日志平台里会反复用到：告警按 IP 找到人、按人找到岗位、按岗位找到该不该有这个权限——链条的第一环就是这张保留表。

保留表里放什么

设备	为什么必须保留
AD 域控	所有终端的认证都指向它，地址变动等于全网登录失败
NAS	文件服务的入口，办公网 ACL 里按 IP 放行的目标
Wazuh 等管理服务	Agent 上报的目标地址，变动后所有终端失联
打印机	网络打印机的地址变了，所有人重新配一遍
核心 PC	生产网策略按 IP 落到机器上，地址漂移策略就失效
服务器	同核心 PC

员工日常终端可以走普通动态池——它们的地址对应关系靠 AD 登录记录维护，不占保留表。保留表只放「地址本身有含义」的设备，这是它保持可信的前提：什么都能保留的表，等于什么都不能查。

配置：DHCP 服务端

# 1) 地址池与排除（服务器段永不进池）
ip dhcp excluded-address 10.10.10.1 10.10.10.20
ip dhcp pool OFFICE
 network 10.10.10.0 255.255.255.0
 default-router 10.10.10.1
 dns-server 10.10.99.10
 lease 8

# 2) 按 MAC 保留（域控）
ip dhcp pool RESERVED-DC
 host 10.10.99.10 255.255.255.0
 hardware-address aabb.cc00.1010
 client-name DC01

配置本身没难度，难度在纪律：

1. 保留表纳入版本管理。它和 ACL、VLAN 配置同级，变更走同样的流程，变更记录里写清「谁、为什么、什么时候」。
2. DNS 指向内部解析器。DHCP 下发的 DNS 必须是内网 DNS（域控），指向外网 DNS 会让域内机器把内部域名解析到公网去。
3. 租期别太长。动态池 8 小时足够；终端换网段重拿地址时，旧租约过期能回收地址。
4. 预留记录定期核对。每季度核对一次保留表与实际在线设备，回收已下线设备的保留——这张表的价值全在「准」字上。