Telnet作为一种经典的网络协议，虽然在现代远程管理中已被SSH（Secure Shell）广泛取代，但其在网络故障排查、端口连通性测试以及特定旧设备维护中依然占据着不可替代的地位。核心上文归纳是：在Linux系统中，Telnet主要用于网络服务的调试与连通性验证，而非安全的远程Shell管理；正确配置和使用Telnet服务需要结合防火墙策略与xinetd超级服务，并严格限制访问权限以规避明文传输带来的安全风险。
Telnet与SSH的本质区别与安全考量
在深入探讨连接细节之前，必须明确Telnet与SSH的架构差异，Telnet协议诞生于TCP/IP协议簇初期，其最大的缺陷在于明文传输，这意味着用户名、密码以及传输的数据在网络上都是以纯文本形式发送的，任何具备抓包能力（如使用Wireshark）的中间人攻击者都能轻易截获敏感信息。
相比之下，SSH通过加密技术保障了数据的机密性与完整性，在专业的生产环境中，严禁使用Telnet进行跨公网的远程服务器管理，Telnet并非一无是处，其“纯文本”特性使其成为检测应用层协议连通性的最佳工具，当需要验证邮件服务器的SMTP端口（25）或Web服务器的HTTP端口（80）是否正常响应时，Telnet能提供最直接的交互反馈,这是SSH无法替代的。
Linux下Telnet服务的安装与配置
在大多数现代Linux发行版（如CentOS 7/8、Ubuntu 18.04/20.04）中，Telnet服务端和客户端默认是未安装的，要建立Telnet连接，首先需要区分“客户端”与“服务端”的角色。
安装Telnet客户端
客户端用于发起连接，通常用于测试，在基于RedHat/CentOS的系统上，执行yum install telnet -y；在基于Debian/Ubuntu的系统上，执行apt install telnet -y，安装完成后，即可使用telnet [IP] [Port]命令发起连接。
安装与配置Telnet服务端
若需将Linux主机配置为Telnet服务器，需安装服务端软件包及xinetd（超级守护进程）。
- CentOS/RHEL:
yum install telnet-server xinetd -y - Ubuntu/Debian:
apt install telnetd xinetd -y
安装完成后，Telnet服务默认通常是关闭的，需要修改配置文件/etc/xinetd.d/telnet，将disable = yes改为disable = no，随后重启xinetd服务：systemctl restart xinetd，Telnet服务即监听在默认的TCP 23端口。
防火墙与端口访问控制
配置服务仅仅是第一步，网络层面的访问控制往往是连接失败的主要原因，Linux内核通过Netfilter/iptables管理网络流量,现代发行版则使用firewalld或UFW作为前端管理工具。
配置Firewalld（CentOS 7+）
若系统运行firewalld，必须明确放行TCP 23端口，执行命令：
firewall-cmd --permanent --add-port=23/tcp
firewall-cmd --reload
永久生效（–permanent）参数至关重要,否则重启后规则将丢失。
配置UFW（Ubuntu）
在Ubuntu系统中，使用简化的UFW防火墙：
ufw allow 23/tcp
ufw enable
TCP Wrappers（/etc/hosts.allow与/etc/hosts.deny）
除了防火墙，Telnet服务通常受TCP Wrappers机制管控，这是一种更细粒度的访问控制列表（ACL），为了安全起见，建议在/etc/hosts.allow中明确允许特定IP或网段，in.telnetd: 192.168.1.0/255.255.255.0，并在/etc/hosts.deny中拒绝所有：in.telnetd: ALL,这种双重验证机制能有效防止未授权IP的扫描与连接。
Telnet连接实战与故障排查
基础连接测试
在客户端执行telnet 192.168.1.100，若出现Trying 192.168.1.100...并提示Connected to ...，则表示TCP三次握手成功，若提示Connection refused，通常意味着目标端口未开放或服务未启动；若提示Connection timed out,则多为防火墙拦截或网络路由不可达。
端口调试的高级应用
这是Telnet最专业的用法，排查邮件发送问题时：
telnet mail.example.com 25
连接成功后，可手动输入SMTP指令：
helo localhost
mail from: <user@example.com>
rcpt to: <recipient@example.com>
通过服务器的返回代码（如220, 250, 550）可以精确定位是网络问题还是邮件服务配置问题，同理，此方法适用于HTTP（80）、HTTPS（443）等所有基于TCP的服务。
常见连接失败解析
- Nmap扫描确认： 使用
nmap -p 23 <IP>确认端口状态，如果状态是filtered，请检查防火墙；如果是closed,请检查服务端是否启动。 - SELinux限制： 在CentOS/RHEL上，即使防火墙放行，SELinux也可能阻止Telnet登录，检查SELinux状态：
getenforce，若为Enforcing，可尝试临时设置为Permissive（setenforce 0）进行测试，若确认为SELinux问题，需调整布尔值：setsebool -P telnetd_disable_trans 1（旧版本）或配置正确的SELinux上下文。
安全加固与替代方案
尽管Telnet在调试中很有用，但若必须开启Telnet服务进行远程管理，必须采取严格的加固措施，除了上述的TCP Wrappers和防火墙限制外，还应确保禁止root用户直接通过Telnet登录，系统通常通过/etc/securetty文件或PAM模块控制此行为，仅允许普通用户登录，再通过su -切换至root,以此增加审计线索。
最专业的解决方案依然是全面转向SSH，SSH不仅支持加密传输，还支持公钥认证，彻底杜绝了密码暴力破解的风险，在绝大多数场景下，应使用nc（netcat）命令替代Telnet进行端口检测，因为nc功能更强大且不依赖Telnet协议栈。
相关问答
Q1：为什么我在Linux下使用Telnet连接服务器时，出现“Escape character is ‘^]’.”提示后就没有反应了？
A1： 这实际上是一个成功的连接提示，而非错误。“Escape character is ‘^]’.”是Telnet客户端进入交互模式的标志，意味着TCP连接已建立，此时若没有反应，可能是因为目标服务（如HTTP或SMTP）正在等待你的输入，你可以尝试输入协议指令（如GET / HTTP/1.0）或检查目标服务是否正常响应，若要退出当前会话，可按下键盘上的Ctrl+]，然后在telnet提示符下输入quit。
Q2：在生产环境中，如果必须使用Telnet管理老旧网络设备，如何最大程度降低安全风险？
A2： 首先应构建管理专用网络（Management VLAN），将Telnet流量与业务数据流量物理或逻辑隔离，在接入交换机上配置ACL（访问控制列表），仅允许特定的管理主机IP访问设备的Telnet端口，建议使用SSH隧道（Port Forwarding）或VPN技术，管理员先通过加密通道进入内网，再进行Telnet连接，从而避免明文数据在公网传输。
能帮助您深入理解Linux下Telnet连接的配置与应用，如果您在实际操作中遇到特定的报错信息或配置难题，欢迎在评论区留言,我们将为您提供更具针对性的排查建议。
