Telnet作为一种经典的网络协议，虽然在现代生产环境中已被SSH取代，但在网络连通性测试、特定遗留设备管理以及端口调试等场景下，依然具有不可替代的实用价值。配置Linux Telnet服务的核心在于正确安装服务端组件、配置xinetd超级守护进程、调整防火墙策略以及实施严格的安全访问控制。 本文将基于CentOS/RedHat及Ubuntu等主流发行版，详细阐述Telnet服务的全流程配置方案，重点解决服务无法启动、连接被拒绝以及root登录权限等常见问题，确保在满足功能需求的同时,最大程度保障系统安全性。
安装Telnet服务端与客户端
在Linux系统中，Telnet通常不作为默认服务安装，配置的第一步是确保服务端和客户端软件包已正确部署，对于基于RPM包管理的系统（如CentOS 7、RHEL），需要分别安装telnet-server和telnet客户端，对于基于Debian包管理的系统（如Ubuntu）,则通常安装telnetd和telnet。
在CentOS/RHEL环境下，可以使用yum命令进行安装：
yum install -y telnet-server telnet xinetd
这里必须包含xinetd，因为Telnet服务通常不作为独立守护进程运行，而是由xinetd进行托管和监控，在Ubuntu环境下，安装命令为：
apt-get install -y telnetd xinetd openbsd-inetd
安装完成后，建议使用rpm -qa或dpkg -l命令确认软件包已成功安装,避免因依赖缺失导致后续配置失败。
配置xinetd超级守护进程
Telnet服务默认是禁用的，需要通过修改xinetd配置文件来激活，xinetd作为超级守护进程，负责监听网络请求并在需要时唤醒Telnet服务，配置文件通常位于/etc/xinetd.d/telnet。
打开该文件，将disable参数的值修改为no，即disable = no，这一步是开启Telnet服务的关键，为了优化服务响应，可以调整instances参数，该参数定义了Telnet服务的最大并发连接数，默认值通常为60，根据服务器负载情况可适当调整，配置完成后，必须重启xinetd服务使配置生效：
systemctl restart xinetd
并设置开机自启：
systemctl enable xinetd
可以使用netstat -antp | grep 23或ss -lntp | grep 23检查23端口是否已处于LISTEN状态,这是判断服务配置是否成功的直接依据。
安全加固与访问控制
由于Telnet采用明文传输数据，极易被嗅探攻击，因此安全配置是Telnet部署中最重要的环节。严禁在生产环境中直接允许root用户通过Telnet登录,这是系统安全的基本底线。
在Linux中，可以通过修改/etc/securetty文件或配置PAM模块来限制root登录，默认情况下，许多系统仅允许root在tty终端登录，若要彻底禁止root通过Telnet登录，需确保/etc/pam.d/login中包含pam_securetty.so模块，且/etc/securetty文件中不包含pts相关的终端定义，还可以利用/etc/hosts.allow和/etc/hosts.deny文件实施TCP Wrappers访问控制，仅允许特定IP网段访问Telnet服务，可在/etc/hosts.allow中添加：
in.telnetd: 192.168.1.0/255.255.255.0 : ALLOW
并在/etc/hosts.deny中添加：
in.telnetd: ALL : DENY
这种“白名单”机制能有效阻断非授权IP的连接尝试,大幅提升安全性。
防火墙策略配置
即使Telnet服务正确启动并监听端口，如果防火墙策略未放行TCP 23端口，外部连接依然会被拒绝，在CentOS 7及以上系统中,默认使用firewalld作为防火墙管理工具。
配置防火墙的命令如下：
firewall-cmd --permanent --add-service=telnet
firewall-cmd --reload
如果系统使用的是iptables，则需要添加相应的规则：
iptables -A INPUT -p tcp --dport 23 -j ACCEPT
并执行service iptables save保存规则，对于Ubuntu系统，若使用UFW（Uncomplicated Firewall），则执行：
ufw allow 23/tcp
配置防火墙时，务必注意规则的顺序和持久化,避免服务器重启后安全策略失效导致服务不可用。
常见故障排查与验证
在完成上述配置后，最后一步是进行功能验证，首先在本地使用telnet localhost 23进行回环测试，如果能够成功登录，说明服务端配置无误，若在远程连接时出现“Connection refused”错误，通常是因为服务未启动或防火墙拦截；若出现“Connection timed out”，则可能是中间网络设备（如路由器、ACL）屏蔽了23端口。
在排查过程中，查看系统日志是定位问题的核心手段，可以通过tail -f /var/log/messages或journalctl -u xinetd -f实时监控服务日志，日志中通常会记录连接来源、认证失败原因以及服务启动错误等关键信息，若日志中出现“Address already in use”，说明23端口被其他程序占用，需使用lsof -i:23查找并终止占用进程。
相关问答
Q1：为什么在配置好Telnet后，使用root用户登录总是提示“Login incorrect”，但普通用户可以正常登录？
A1： 这是Linux系统的安全机制在起作用，默认情况下，为了防止root密码通过网络被窃取，系统禁止root用户通过Telnet等网络终端直接登录，这是由PAM模块（通常是pam_securetty.so）控制的，解决方案是使用普通用户登录，然后通过su -或sudo -i切换至root环境，如果确实需要root远程登录（极不推荐），可以删除/etc/securetty或在/etc/pam.d/login中注释掉相关行,但这会带来极大的安全风险。
Q2：Telnet和SSH在端口连通性测试中有什么区别，为什么网络管理员依然保留Telnet？
A2： 虽然SSH更安全，但在端口连通性测试方面，Telnet具有独特的优势，Telnet是一个纯粹的TCP协议交互工具，连接建立后会进入交互模式，能够直观地显示连接是否成功，而SSH连接建立后会进行复杂的握手和加密协商，如果端口通但SSH服务配置有误，错误信息可能不够直观，在排查HTTP、MySQL等非SSH服务的端口连通性时，Telnet依然是网络工程师的首选工具,因为它能快速判断TCP层面的链路是否通畅。
希望以上配置方案能帮助您成功搭建Telnet服务，如果您在配置过程中遇到特定的报错信息或针对不同Linux发行版有细节疑问，欢迎在评论区留言,我们将为您提供进一步的故障排查思路。
