Protocolo DHCP: como funciona o DORA, o que configurar e as falhas que derrubam a rede

Autor: Pedro Tebaldi PM do KeepGreen

Publicado set/2026

Às 8h40 de uma segunda-feira, quinze estações do andar novo aparecem com endereço 169.254.x.x. Nenhuma delas alcança o ERP. No entanto, o switch está de pé, o link de dados está de pé; o ping para o gateway falha. Ninguém tocou na rede no fim de semana.

Esse é o formato mais comum de uma falha de endereçamento automático: nada quebra de modo visível, mas um segmento inteiro para de receber IP. Como o serviço só aparece quando falta, ele costuma ser o último item a entrar no monitoramento. Ao mesmo tempo, é o primeiro a gerar fila no service desk.

Este guia trata o assunto como serviço de produção, não como verbete. Antes de tudo, você verá como o ciclo DORA funciona na prática. Em seguida, como dimensionar escopo e lease, quando o relay é obrigatório e quais falhas derrubam a rede. Por fim, quais sinais entregam o problema antes do chamado.

O que é o protocolo DHCP

O protocolo DHCP (Dynamic Host Configuration Protocol) é o serviço que entrega configuração de rede a um dispositivo assim que ele se conecta. Ele atribui endereço IP, máscara, gateway padrão e servidores DNS, por tempo determinado. Além disso, roda na camada de aplicação sobre UDP e dispensa cadastro manual máquina a máquina.

Na prática, ele ocupa a camada 7 do modelo OSI e usa UDP como transporte. Por isso o pedido do cliente sai em broadcast. Por isso, também, ele não atravessa roteador sem ajuda. Guarde essa frase: ela explica metade dos incidentes das próximas seções.

Vale destacar o que a maioria das equipes subestima: as opções que viajam junto do endereço. Além de IP, máscara e gateway, o servidor distribui sufixo de domínio, servidor NTP e rota estática. Inclusive, distribui a opção 66/67, usada por boot PXE e por telefonia IP.

Entre os protocolos de rede de infraestrutura, portanto, é o que mais entrega parâmetro invisível. Quando uma dessas opções sai errada, o sintoma aparece longe da origem. Por exemplo: telefone IP que não registra, estação que não sincroniza hora, terminal sem imagem de boot. Em todos esses casos o endereçamento funcionou; a opção adicional, não.

DORA: as quatro mensagens que entregam um IP

O ciclo tem quatro mensagens. Ou seja, a sigla DORA guarda a ordem exata: Discover, Offer, Request, Ack. O cliente ainda não tem endereço quando a conversa começa, então ele fala em broadcast. Nesse sentido, o servidor escuta na porta UDP 67 e responde para a porta UDP 68 do cliente.

Duas consequências práticas saem desse desenho. Primeiro, o Request também vai em broadcast por escolha do protocolo. Assim, os outros servidores que ofereceram endereço ouvem a recusa e devolvem o IP ao pool. Segundo, o broadcast morre no primeiro roteador, o que obriga toda rede segmentada a usar relay.

A renovação, por sua vez, não espera o lease vencer. O cliente tenta renovar em T1, na metade do tempo, direto com o servidor que concedeu o endereço. Se não obtiver resposta, tenta de novo em T2, com 87,5% do lease decorrido, agora em broadcast. Essa temporização está na RFC 2131.

Escopo, lease e reserva: as três decisões que definem sua rede

Nenhuma dessas três decisões cobra o preço no dia da configuração. Por outro lado, todas cobram seis meses depois, quando a rede cresce ou o escritório recebe visita.

Escopo: dimensione pelo pico medido

O escopo é a faixa que o servidor pode distribuir. No entanto, o erro clássico está em dimensioná-lo pela contagem de colaboradores. Conte dispositivos: notebook, celular, tablet, telefone IP, impressora, ponto de acesso, catraca, câmera. Em ambiente com BYOD, cada pessoa ocupa mais de um endereço com frequência.

Meça o pico de leases ativos ao longo de trinta dias. Em seguida, dimensione a faixa acima desse pico, com folga para visita, evento e troca de equipamento. Faixa apertada não avisa que chegou ao limite: ela simplesmente para de responder quando o último endereço sai.

Além disso, deixe fora do escopo a faixa dos endereços fixos. Gateway, switch gerenciável, servidor e controladora entram no intervalo de exclusão, nunca na faixa distribuível. Essa separação é decisão de planejamento de infraestrutura de redes, não detalhe de configuração.

Lease: o parâmetro que ninguém revisa

O tempo de lease decide por quanto tempo um endereço fica preso a um dispositivo que já saiu da rede. Por exemplo, lease longo de vários dias esgota escopo em ambiente com muita rotatividade: sala de reunião, Wi-Fi de visitante, área de atendimento. Lease curto, por outro lado, multiplica a conversa e o tráfego que atravessa o relay.

Uma regra de partida que funciona bem: oito horas na rede cabeada de estação de trabalho. No Wi-Fi de visitante, uma a duas horas; em segmento estável com endereço sobrando, vários dias. Depois disso, ajuste pelo comportamento real do escopo, nunca pelo padrão que veio de fábrica.

Reserva por MAC ou endereço fixo na máquina

Reserva e IP fixo resolvem o mesmo problema com custos de manutenção diferentes. A reserva vive no servidor. Dessa forma, você reendereça a rede inteira sem tocar em nenhum equipamento. O endereço fixo vive na máquina. Portanto, cada host esquecido vira conflito no dia do reendereçamento.

O critério prático é curto. Ou seja, fixe na máquina só o que precisa subir antes do serviço de endereçamento: o servidor DHCP, o gateway e o switch de núcleo. Todo o resto, inclusive impressora, câmera e ponto de acesso, entra como reserva por MAC.

DHCP relay: por que rede com VLAN precisa dele

O broadcast do Discover não atravessa roteador, então um cliente na VLAN 30 nunca alcança sozinho um servidor na VLAN 10. O relay resolve o impasse. Em seguida, o roteador ou o switch de camada 3 recebe o broadcast, converte em unicast e encaminha ao servidor. No caminho, informa de qual sub-rede veio o pedido.

Em qualquer rede com segmentação por VLAN, portanto, existem só dois caminhos legítimos. Ou cada segmento tem seu próprio servidor, ou o gateway de cada segmento aponta para o servidor central. Por exemplo, no Cisco IOS esse apontamento é uma linha por interface.

! VLAN 30 usa o servidor central da VLAN 10
interface Vlan30
 ip address 10.30.0.1 255.255.255.0
 ip helper-address 10.10.0.10
 ip helper-address 10.10.0.11

O campo que o relay preenche chama-se giaddr. Ou seja, é por ele que o servidor descobre qual escopo aplicar ao pedido. Errar o helper-address produz um sintoma enganoso: o servidor está no ar, atende bem a própria VLAN, mas um segmento inteiro fica sem endereço.

Duas armadilhas aparecem sempre nas mesmas circunstâncias. A primeira é apontar o helper só para o servidor primário, o que derruba a redundância no dia em que ele cai. A segunda é criar VLAN nova sem revisar a topologia da rede, esquecendo o helper na interface recém-criada.

Cinco falhas de DHCP que derrubam a rede

Antes de tudo, as falhas abaixo cobrem a maior parte dos chamados de endereçamento. Todas têm sintoma reconhecível. Além disso, nenhuma exige ferramenta especial para confirmar.

O endereço 169.254.x.x merece um parágrafo próprio, porque quase todo chamado o descreve como defeito do Windows. Na verdade, ele é o comportamento de link-local previsto na RFC 3927.

Ademais, a norma reserva o prefixo 169.254/16 na IANA. Ela manda o cliente sortear um endereço entre 169.254.1.0 e 169.254.254.255 quando ninguém responde. Ou seja, ver essa faixa na rede é ver a confirmação de que o pedido caiu no vazio. Em síntese, o host não está quebrado: ele está avisando.

DHCP snooping: como barrar um servidor não autorizado

O switch com snooping ativo classifica cada porta como confiável ou não confiável. Mensagens de servidor, ou seja, Offer e Ack, passam apenas por porta confiável. Por conseguinte, o switch descarta as demais.

Na configuração usual, portanto, o uplink e a porta do servidor ficam confiáveis, enquanto toda porta de acesso fica não confiável.

O recurso ainda monta a tabela de binding, que associa MAC, IP, VLAN e porta de cada concessão legítima. Essa tabela alimenta o Dynamic ARP Inspection e o IP Source Guard. Dessa forma, fecha também o caminho de spoofing que o servidor falso abre ao assumir o papel de gateway.

Vale tratar isso como controle de segurança de rede, nunca como ajuste fino de switch. Um servidor não autorizado não distribui só endereço errado. Ou seja, ele distribui o DNS que quiser e passa a ver o tráfego que deveria ir direto ao gateway.

O que monitorar no DHCP antes de o usuário abrir chamado

Quase nenhuma operação monitora esse serviço. O motivo é sempre o mesmo: ele nunca entra na lista de aplicações críticas.

Ainda assim, problemas de TI e de rede responderam por 23% das interrupções com impacto em 2024, segundo o levantamento anual da Uptime Institute. Quatro sinais entregam o problema antes da fila no service desk.

Leases livres por escopo. É, ao mesmo tempo, o sinal mais barato e o mais ignorado. Alerte em dois níveis, por exemplo abaixo de 20 endereços livres e abaixo de 5, para separar tendência de emergência. Além disso, a coleta por SNMP resolve isso na maioria dos servidores e appliances.

Tempo de resposta do Offer. Um teste sintético que pede endereço em um segmento de laboratório mede o caminho inteiro: serviço, relay e roteamento. Dessa forma, latência crescente aparece antes da falha completa.

Servidor não autorizado respondendo. Por isso, o contador de pacotes descartados pelo snooping é o gatilho direto. Sem snooping, uma varredura periódica que compara o IP de quem responde com a lista oficial cumpre o papel.

Presença de 169.254 no inventário. Qualquer host com endereço link-local é um chamado que ainda não foi aberto. Assim, essa regra costuma disparar antes do primeiro telefonema.

Na rede do Marista Brasil, com 97 escolas e cerca de 6.000 hosts monitorados, o padrão que precisávamos quebrar era exatamente esse. O problema chegava pela reclamação do usuário ou pela operadora, nunca pelo monitoramento.

Montamos um dashboard por unidade escolar com NOC ativo 7×24. Depois disso, a operação passou a tratar incidente antes do expediente da equipe local.

Por onde começar na sua rede

Comece pelo inventário do que já existe. Antes de tudo, levante quantos escopos estão ativos, o pico de leases de cada um e o tempo de concessão configurado. Como resultado, você costuma descobrir em uma tarde o escopo que vai estourar no próximo mês.

Em seguida, revise os helpers. Liste as VLANs criadas nos últimos doze meses e confirme que cada interface aponta para os dois servidores, nunca só para o primário. Depois disso, ligue o snooping nos switches de acesso e marque apenas uplink e porta de servidor como confiáveis.

Por fim, coloque os quatro sinais da seção anterior no monitoramento. Leases livres, tempo de resposta do Offer, servidor não autorizado e presença de endereço link-local cobrem quase todo o espectro de falha. Além disso, nenhum deles exige ferramenta nova.

Quer colocar esse serviço sob monitoramento com alerta acionável, junto do restante da camada de rede? Fale com um especialista da OpServices e avalie o ambiente com quem opera rede corporativa todos os dias.