Отказоустойчивый DHCP в Windows Server: настройка failover

Для настройки DHCP Failover необходимо учитывать следующие ограничения:

• Failover поддерживается только для IPv4-областей (для IPv6 используется stateless DHCPv6)
• Максимум два сервера в отношении failover для одной области
• Оба сервера должны работать под управлением Windows Server 2012 или новее
• Время на серверах должно быть синхронизировано (разница не более 1 минуты)
• Между серверами должен быть открыт TCP-порт 647 для репликации

Проверьте синхронизацию времени командой:

w32tm /query /status
w32tm /query /peers

Если серверы находятся в домене Active Directory, время синхронизируется автоматически через PDC Emulator. Для рабочих групп настройте NTP вручную.

Создайте область на основном DHCP-сервере, если она ещё не существует:

# Создание области
Add-DhcpServerv4Scope -Name "Office LAN" `
  -StartRange 10.0.1.100 `
  -EndRange 10.0.1.250 `
  -SubnetMask 255.255.255.0 `
  -LeaseDuration 8.00:00:00 `
  -State Active

# Добавление исключений (для серверов, принтеров)
Add-DhcpServerv4ExclusionRange -ScopeId 10.0.1.0 `
  -StartRange 10.0.1.100 -EndRange 10.0.1.110

# Настройка опций области
Set-DhcpServerv4OptionValue -ScopeId 10.0.1.0 `
  -Router 10.0.1.1 `
  -DnsServer 10.0.0.10,10.0.0.11 `
  -DnsDomain corp.local

# Проверка конфигурации
Get-DhcpServerv4Scope | Format-Table -AutoSize
Get-DhcpServerv4OptionValue -ScopeId 10.0.1.0

Убедитесь, что область активна и клиенты получают адреса от первого сервера, прежде чем переходить к настройке failover.

DHCP Failover использует TCP-порт 647 для связи между партнёрами. Откройте его на обоих серверах:

# На обоих серверах
New-NetFirewallRule -DisplayName "DHCP Failover" `
  -Direction Inbound `
  -Protocol TCP `
  -LocalPort 647 `
  -Action Allow `
  -Profile Domain

# Проверка доступности порта с первого сервера
Test-NetConnection -ComputerName dhcp02.corp.local -Port 647

Также убедитесь, что стандартные DHCP-порты (UDP 67/68) открыты на обоих серверах для обслуживания клиентов.

В режиме Load Balance оба сервера одновременно обслуживают клиентов. Это оптимальный режим для площадок, где оба сервера постоянно доступны:

# Настройка failover в режиме Load Balance
Add-DhcpServerv4Failover -Name "DHCP-FO-Office" `
  -PartnerServer dhcp02.corp.local `
  -ScopeId 10.0.1.0 `
  -SharedSecret "K0mpl3xP@ssw0rd!" `
  -LoadBalancePercent 50 `
  -MaxClientLeadTime 01:00:00 `
  -AutoStateTransition $true `
  -StateSwitchInterval 00:30:00

# Проверка состояния failover
Get-DhcpServerv4Failover -Name "DHCP-FO-Office"

# Проверка на обоих серверах
Get-DhcpServerv4Failover -ComputerName dhcp01.corp.local
Get-DhcpServerv4Failover -ComputerName dhcp02.corp.local

Параметр LoadBalancePercent задаёт процент запросов, обрабатываемых основным сервером. Значение 50 означает равномерное распределение. MaxClientLeadTime определяет максимальное время, на которое сервер может продлить аренду сверх обычного срока при отказе партнёра. StateSwitchInterval — время ожидания перед автоматическим переключением в состояние Partner Down.

Режим Hot Standby подходит для сценариев с выделенным резервным сервером, например, в филиале с резервным DHCP в ЦОД:

# Настройка failover в режиме Hot Standby
Add-DhcpServerv4Failover -Name "DHCP-FO-Branch" `
  -PartnerServer dhcp02.corp.local `
  -ScopeId 10.0.2.0 `
  -SharedSecret "K0mpl3xP@ssw0rd!" `
  -ServerRole Active `
  -ReservePercent 5 `
  -MaxClientLeadTime 01:00:00 `
  -AutoStateTransition $true `
  -StateSwitchInterval 00:30:00

# На резервном сервере роль будет Standby автоматически
Get-DhcpServerv4Failover -ComputerName dhcp02.corp.local

Параметр ReservePercent определяет долю адресного пула, зарезервированную за standby-сервером. Значение 5% означает, что standby-сервер может выдать только 5% адресов из пула в нормальном режиме работы. При переходе в состояние Partner Down ему становится доступен весь пул.

Для добавления нескольких областей в существующее отношение failover используйте Add-DhcpServerv4FailoverScope:

# Добавление дополнительных областей
Add-DhcpServerv4FailoverScope -Name "DHCP-FO-Office" `
  -ScopeId 10.0.3.0,10.0.4.0,10.0.5.0

# Просмотр всех областей в failover
Get-DhcpServerv4Failover -Name "DHCP-FO-Office" | Select-Object -ExpandProperty ScopeId

# Принудительная репликация после добавления
Invoke-DhcpServerv4FailoverReplication -Name "DHCP-FO-Office"

Все настройки области (опции, исключения, резервирования) реплицируются на партнёра автоматически. Однако серверные опции (Server Options) не реплицируются — их нужно настраивать на каждом сервере отдельно.

Для продакшен-среды рекомендуются следующие параметры:

Shared Secret должен быть сложным и уникальным для каждого отношения failover. Храните его в защищённом хранилище паролей.

Если автоматическое переключение отключено или вы хотите ускорить процесс:

# Перевод в состояние Partner Down (когда партнёр точно недоступен)
Set-DhcpServerv4Failover -Name "DHCP-FO-Office" `
  -State PartnerDown

# Возврат в нормальное состояние после восстановления партнёра
# Сначала запустите репликацию
Invoke-DhcpServerv4FailoverReplication -Name "DHCP-FO-Office"

# Затем переведите в Normal
Set-DhcpServerv4Failover -Name "DHCP-FO-Office" `
  -State Normal

Важно: не переводите failover в состояние Normal, пока партнёр действительно не восстановлен и репликация не завершена. Иначе возможны конфликты IP-адресов.

Создайте задачу в планировщике для периодической синхронизации конфигурации:

# Скрипт для автоматической репликации (сохраните как C:\Scripts\dhcp-replicate.ps1)
$failovers = Get-DhcpServerv4Failover
foreach ($fo in $failovers) {
    try {
        Invoke-DhcpServerv4FailoverReplication -Name $fo.Name -Force
        Write-EventLog -LogName Application -Source "DHCP-Failover-Script" `
          -EventId 1000 -EntryType Information `
          -Message "Репликация $($fo.Name) выполнена успешно"
    } catch {
        Write-EventLog -LogName Application -Source "DHCP-Failover-Script" `
          -EventId 1001 -EntryType Error `
          -Message "Ошибка репликации $($fo.Name): $_"
    }
}

# Создание задачи в планировщике (каждые 4 часа)
$action = New-ScheduledTaskAction -Execute "PowerShell.exe" `
  -Argument "-ExecutionPolicy Bypass -File C:\Scripts\dhcp-replicate.ps1"
$trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 4) `
  -Once -At (Get-Date)
Register-ScheduledTask -TaskName "DHCP Failover Replication" `
  -Action $action -Trigger $trigger `
  -User "SYSTEM" -RunLevel Highest

Если failover застревает в состоянии Communication Interrupted, проверьте:

# 1. Проверка сетевой связности
Test-NetConnection -ComputerName dhcp02.corp.local -Port 647

# 2. Проверка службы DHCP на партнёре
Get-Service DHCPServer -ComputerName dhcp02.corp.local

# 3. Проверка брандмауэра
Get-NetFirewallRule | Where-Object {
  $_.DisplayName -like "*DHCP*" -or $_.LocalPort -eq 647
} | Format-Table DisplayName, Enabled, Direction, Action

# 4. Проверка синхронизации времени
w32tm /monitor /computers:dhcp01.corp.local,dhcp02.corp.local

# 5. Просмотр журнала аудита DHCP
Get-Content "C:\Windows\System32\dhcp\DhcpSrvLog-*.log" -Tail 100 |
  Select-String "failover|partner"

Наиболее частая причина — блокировка порта 647 промежуточным файрволом или рассинхронизация времени более чем на 60 секунд.

Если после длительного простоя одного из серверов возникают конфликты адресов:

# Просмотр конфликтных аренд
Get-DhcpServerv4Lease -ScopeId 10.0.1.0 | Where-Object {
  $_.AddressState -like "*Declined*"
} | Format-Table IPAddress, HostName, AddressState

# Очистка отклонённых адресов
Get-DhcpServerv4Lease -ScopeId 10.0.1.0 | Where-Object {
  $_.AddressState -like "*Declined*"
} | Remove-DhcpServerv4Lease

# Полная пересинхронизация
Invoke-DhcpServerv4FailoverReplication -Name "DHCP-FO-Office" -Force

Для предотвращения конфликтов включите обнаружение конфликтов на обоих серверах:

Set-DhcpServerSetting -ConflictDetectionAttempts 2

Если мастер или командлет возвращает ошибку при создании отношения failover:

# Проверка, что область не входит в другое отношение failover
Get-DhcpServerv4Failover | Select-Object -ExpandProperty ScopeId

# Удаление некорректного отношения и пересоздание
Remove-DhcpServerv4Failover -Name "DHCP-FO-Office" -Force

# На втором сервере удалите реплицированную область
Remove-DhcpServerv4Scope -ScopeId 10.0.1.0 -ComputerName dhcp02.corp.local -Force

# Пересоздайте failover
Add-DhcpServerv4Failover -Name "DHCP-FO-Office" `
  -PartnerServer dhcp02.corp.local `
  -ScopeId 10.0.1.0 `
  -SharedSecret "NewP@ssw0rd!" `
  -LoadBalancePercent 50