DHCP przydziela adres IP klientowi w ramach zdefiniowanego zakresu (puli). Klient, uruchamiając interfejs, wysyła rozgłoszenie i może otrzymać odpowiedzi od więcej niż jednego serwera w tej samej domenie rozgłoszeniowej (np. VLAN). Jeśli w sieci działa dodatkowy serwer DHCP (czasem przypadkowo włączony na routerze SOHO lub na innym serwerze), część stacji może zaakceptować jego ofertę i dostać adresy z innej puli.
Dlatego odpowiedź "W sieci pracuje inny, dodatkowy serwer DHCP." jest poprawna: wyjaśnia, skąd fizycznie biorą się "obce" adresy — są przydzielane przez inny mechanizm DHCP niż ten skonfigurowany na wskazanym serwerze Windows.
Pozostałe odpowiedzi nie tłumaczą zjawiska:
- "Sieć LAN jest przeciążona." — przeciążenie może powodować opóźnienia, utratę pakietów lub problemy z uzyskaniem dzierżawy, ale samo w sobie nie "tworzy" adresów spoza puli. Co najwyżej klient nie dostanie adresu albo będzie miał opóźniony przydział.
- "Na serwerze nieprawidłowo skonfigurowano zaporę sieciową." — zapora może blokować porty DHCP i skutkować brakiem dzierżawy, jednak nie powoduje, że klient otrzymuje adresy z innej, niezdefiniowanej puli. Żeby adres "się pojawił", musi go przydzielić jakiś serwer albo musi zostać ustawiony statycznie.
- "Interfejsy sieciowe na stacjach klienckich mają wyłączoną autokonfigurację." — wyłączenie automatycznego pobierania adresu (DHCP) typowo skutkuje brakiem poprawnej konfiguracji dynamicznej lub koniecznością ustawienia statycznego; nie jest to mechanizm, który masowo i losowo rozdziela adresy "spoza puli" części stacji.
W praktyce, aby potwierdzić podejrzenie rogue DHCP, analizuje się logi serwera DHCP, śledzi komunikaty DHCP w Wiresharku (kto wysyła Offer/Ack) oraz sprawdza urządzenia brzegowe (routery, AP, przełączniki) pod kątem włączonego serwera DHCP.
