1. 项目概述与背景最近在给一台新部署的银河麒麟高级服务器操作系统V10KylinosV10做基础环境初始化有个老旧的业务系统需要用到telnet服务进行设备管理。虽然现在SSH是远程管理的绝对主流但架不住一些特定场景下比如调试某些只支持telnet的嵌入式设备、或者维护一些遗留系统时telnet这个“古董”协议还是绕不开的。在银河麒麟V10上默认是没有安装telnet客户端和服务端的需要手动操作。这活儿看起来简单就是几条命令的事但实际做下来从包名确认、依赖解决到服务配置还是有几个细节值得拿出来聊聊尤其是对于刚接触国产操作系统的朋友。简单来说这个任务就是在银河麒麟V10服务器版上安装并启用telnet的客户端用于连接其他主机和服务器端允许其他主机连接本机。整个过程会涉及到使用系统自带的包管理器通常是yum或dnf银河麒麟V10基于CentOS所以是yum、服务管理systemctl以及一些基础的安全配置考量。无论你是运维工程师、系统管理员还是需要在国产化环境中部署应用的开发者掌握这套标准化的软件安装和服务管理流程都是必备技能。下面我就把这次实操的完整过程、踩过的坑以及一些优化建议详细拆解一遍。2. 核心需求与方案选型解析2.1 为什么在SSH时代还要用Telnet首先得明确一点除非业务强制要求否则绝不建议在生产环境启用telnet服务端。原因很简单telnet协议的所有通信包括用户名和密码都是明文传输的这在现代网络环境下等同于“裸奔”安全隐患极大。那为什么还要安装它呢需求主要来自两方面客户端需求作为管理机去连接那些只开放了telnet端口的老旧网络设备如交换机、路由器、工控设备等。这时我们只需要在本机安装telnet客户端即可。服务器端需求某些遗留的应用程序或测试环境可能硬编码了使用telnet协议进行通信。在受控的内网环境如物理隔离的测试网中临时启用用于调试或兼容性测试。对于需求1我们只安装telnet客户端包。对于需求2则需要额外安装telnet-server服务端包并启动服务。本次操作假设两种需求都存在因此会完成全套安装和配置。2.2 银河麒麟V10的软件源与包管理银河麒麟高级服务器操作系统V10是基于CentOS或类似RHEL系构建的因此其底层的包管理工具是yum或dnf但V10默认仍是yum。软件包的名字、安装方式与CentOS/RedHat基本一致。这里有一个关键点确保你的系统已经正确配置了可用的软件源repository。新安装的银河麒麟系统通常会自带官方的源但有些定制化镜像可能为了精简而移除。你可以通过以下命令检查yum repolist all如果能看到启用enabled的仓库列表如base、updates等就说明源是正常的。如果列表为空或报错就需要先联系系统提供方或根据官方文档配置软件源。这是后续所有安装操作的基础。方案选型上没有其他选择就是通过yum来安装由麒麟官方或上游社区维护的telnet和telnet-server软件包。这是最稳定、最合规的方式。3. 详细安装步骤与操作实录3.1 环境准备与检查开始之前请确保你拥有系统的root权限。所有安装操作都需要在管理员身份下进行。首先更新一下yum的缓存确保获取到最新的软件包列表信息。这是一个好习惯尤其是在新系统上。yum makecache或者使用更全面的更新命令yum update -y如果当前没有其他紧急任务执行全面更新可以让系统保持最新状态。如果只是安装telnetmakecache就足够了。3.2 安装Telnet客户端安装客户端非常简单一条命令搞定yum install -y telnet命令解析yum install: yum包管理器的安装命令。-y: 自动回答“yes”在确认安装时无需手动输入。在脚本中或确定要安装时使用它非常方便。telnet: 客户端软件包的名称。安装完成后可以通过以下命令验证客户端是否安装成功telnet --help # 或尝试连接一个不存在的地址看命令是否可用 telnet 127.0.0.1 9999如果出现telnet: connect to address 127.0.0.1: Connection refused之类的提示表示连接被拒绝而不是“命令未找到”那就说明telnet客户端命令已经可用了。3.3 安装与配置Telnet服务端第一步安装服务端包yum install -y telnet-server系统会自动安装telnet-server包及其可能需要的依赖。第二步理解Telnet服务的守护进程在RHEL/CentOS系包括银河麒麟中telnet-server包提供的是由xinetd扩展互联网服务守护进程管理的服务。xinetd本身是一个超级守护进程用于管理很多不常使用的、轻量级的网络服务如telnet、tftp等只在有连接请求时才激活对应的服务进程节省系统资源。因此我们需要确保xinetd服务已安装并启用。通常安装telnet-server时会自动安装xinetd作为依赖但最好确认一下systemctl status xinetd如果未安装则手动安装yum install -y xinetd第三步配置Telnet服务Telnet服务的配置文件位于/etc/xinetd.d/目录下安装包会提供一个默认的配置文件telnet。cat /etc/xinetd.d/telnet默认配置可能是禁用的disable yes。我们需要编辑这个文件来启用服务。vi /etc/xinetd.d/telnet找到disable yes这一行将其改为disable no。如果需要你还可以修改其他参数例如flags REUSE: 设置套接字可重用。socket_type stream: 使用流式套接字TCP。wait no: 服务不等待即xinetd会为每个新的连接请求派生一个新的服务进程。user root: 运行服务的用户出于安全考虑有些场景会改为非root用户但telnet本身设计就需要root权限来登录任意用户。server /usr/sbin/in.telnetd: telnet守护进程的位置。log_on_failure USERID: 在日志中记录登录失败的用户ID。一个启用后的基础配置示例如下service telnet { flags REUSE socket_type stream wait no user root server /usr/sbin/in.telnetd log_on_failure USERID disable no }编辑完成后保存退出。注意直接以root运行服务是安全风险之一。但在严格的telnet使用场景下如隔离测试网这可能不是首要考虑。如果安全要求高应考虑彻底不使用telnet。第四步启动服务首先需要启动超级守护进程xinetd并设置其开机自启。systemctl enable xinetd --now--now参数表示同时立即启动服务。然后由于修改了xinetd的子服务配置telnet需要重新加载xinetd的配置使其生效。systemctl reload xinetd或者重启xinetd服务systemctl restart xinetd第五步防火墙配置关键步骤银河麒麟V10默认可能启用firewalld或iptables作为防火墙。telnet默认使用TCP 23端口必须允许该端口的入站连接否则外部无法访问。如果使用firewalld默认# 查看当前防火墙状态和区域 firewall-cmd --state firewall-cmd --get-active-zones # 添加telnet服务firewalld预定义了telnet服务指向23/tcp firewall-cmd --permanent --add-servicetelnet # 或者直接添加端口 # firewall-cmd --permanent --add-port23/tcp # 重新加载防火墙配置使规则生效 firewall-cmd --reload # 验证规则是否添加成功 firewall-cmd --list-services # 或 firewall-cmd --list-ports如果使用iptables较旧或特定定制版本需要直接添加iptables规则并确保规则持久化。# 添加允许23端口的规则 iptables -I INPUT -p tcp --dport 23 -j ACCEPT # 保存iptables规则银河麒麟上保存命令可能因版本而异通常是 service iptables save # 或 iptables-save /etc/sysconfig/iptables实操心得很多朋友安装配置完服务后发现本地telnet 127.0.0.1 23能通但外部机器连不上十有八九就是防火墙端口没开。务必养成检查防火墙规则的习惯。可以使用ss -tlnp | grep :23或netstat -tlnp | grep :23查看23端口是否处于监听LISTEN状态。4. 功能验证与基础测试4.1 服务状态检查检查xinetd及端口监听systemctl status xinetd ss -tlnp | grep :23如果状态为active (running)且能看到xinetd进程在监听23端口说明服务已正常启动。本地回环测试 在服务器本机上测试telnet服务是否响应。telnet 127.0.0.1 23如果连接成功你会看到类似以下的提示这表示telnet服务端正在工作Trying 127.0.0.1... Connected to 127.0.0.1. Escape character is ^]. Kylinos Linux release V10 (Tercel) Kernel 4.19.90-... on an x86_64 login:此时你可以输入一个有效的系统用户名和密码进行登录测试。注意root用户默认可能被PAM可插拔认证模块策略禁止通过telnet登录这是安全加固的一部分。可以尝试用普通用户登录。4.2 远程连接测试从网络中的另一台Linux或Windows客户端进行测试。Linux客户端telnet 服务器IP地址 23Windows客户端 现代Windows默认未安装telnet客户端。可以在“控制面板”-“程序”-“启用或关闭Windows功能”中勾选“Telnet客户端”进行安装。安装后在CMD或PowerShell中执行telnet 服务器IP地址 23成功连接并登录即表示整个telnet服务安装配置完成。5. 安全加固与生产环境考量再次强调在互联网或非受信网络环境中启用telnet是极其危险的行为。如果因特殊原因必须在某个环境使用请务必考虑以下加固措施使用防火墙严格限制源IP不要对所有IP开放23端口。使用firewalld的--add-rich-rule或iptables的-s参数只允许特定的管理IP或IP段访问。# firewalld 示例仅允许192.168.1.100访问 firewall-cmd --permanent --add-rich-rulerule familyipv4 source address192.168.1.100 service nametelnet accept firewall-cmd --reload修改默认端口安全性提升有限修改/etc/services文件可以改变telnet的公认端口但这不是真正的安全措施因为端口扫描很容易发现。修改方法复杂且可能影响其他组件一般不推荐。使用TCP Wrappers进行额外控制xinetd通常支持TCP Wrappers。可以通过配置/etc/hosts.allow和/etc/hosts.deny文件来进一步控制访问。# /etc/hosts.allow in.telnetd: 192.168.1.0/255.255.255.0 # /etc/hosts.deny in.telnetd: ALL上述配置允许192.168.1.0/24网段拒绝所有其他。注意TCP Wrappers的优先级和兼容性需要根据系统具体配置确认。强制使用SSH替代最根本的解决方案。向业务方说明安全风险推动将客户端或服务端协议升级为SSH。对于需要连接老旧设备的情况可以考虑在网络上部署一个“跳板机”该跳板机通过SSH管理并在其上安装telnet客户端用于连接内网老旧设备。6. 常见问题排查与解决实录在实际操作中你可能会遇到以下问题6.1 连接被拒绝 (Connection refused)现象telnet IP 23后立刻返回Connection refused。可能原因及排查服务未启动检查xinetd服务状态和23端口监听状态ss -tlnp | grep :23。配置文件未启用确认/etc/xinetd.d/telnet中disable no。防火墙拦截这是最常见的原因。检查本地防火墙规则并确认客户端与服务器之间的网络路径上没有其他防火墙如云平台安全组、硬件防火墙拦截了23端口。6.2 连接超时 (Connection timed out)现象连接长时间无响应最终超时。可能原因及排查网络不通使用ping命令检查基础网络连通性。中间防火墙丢弃包网络路径上的防火墙直接丢弃了数据包而非拒绝。需要逐段排查网络设备策略。服务绑定IP错误默认xinetd服务监听在所有IP0.0.0.0上。检查配置是否有bind或only_from等指令限制了监听地址。6.3 登录失败或立即断开现象能连接到登录提示符但输入用户名/密码后登录失败或连接立即关闭。可能原因及排查PAM安全策略限制检查/etc/securetty文件该文件列出了允许root登录的终端设备。默认可能不包含pts/*伪终端导致root无法通过telnet登录。不建议修改此文件来允许root登录应使用普通用户。用户shell不可用检查/etc/passwd中该用户指定的shell如/bin/bash是否存在且可执行。selinux影响银河麒麟V10可能默认启用SELinux。SELinux可能会阻止xinetd或in.telnetd进程的正常操作。可以临时将SELinux设置为宽容模式测试setenforce 0注意这仅是临时测试方法。生产环境如需调整应使用正确的SELinux布尔值或策略模块如setsebool -P xinetd_disable_trans1具体策略名需根据系统审计日志ausearch或sealert确定。6.4 软件包安装失败现象yum install telnet或yum install telnet-server失败。可能原因及排查软件源问题yum repolist all检查源是否可用。尝试yum clean all yum makecache。包名差异极少数情况下包名可能有细微差别。可以使用yum search telnet或yum list available | grep telnet来搜索确切的包名。依赖冲突系统可能与其他软件包存在依赖冲突。仔细阅读yum报错信息或尝试使用yum install -y telnet-server --skip-broken谨慎使用。7. 进阶将Telnet服务封装为Systemd服务可选虽然通过xinetd管理是标准方式但有些人更喜欢用systemd直接管理服务感觉更“现代”和统一。我们可以为telnet创建一个自定义的systemd服务单元。创建服务单元文件vi /etc/systemd/system/telnet.service写入以下内容[Unit] DescriptionTelnet Server Afternetwork.target [Service] Typesimple ExecStart/usr/sbin/in.telnetd -debug 23 StandardInputsocket StandardOutputinherit StandardErrorjournal Restarton-failure RestartSec5s [Install] WantedBymulti-user.target这里使用-debug参数让in.telnetd在前台运行便于systemd管理。端口直接指定为23。禁用xinetd的telnet配置启用新的systemd服务# 将xinetd中的telnet服务改回禁用 sed -i s/disable no/disable yes/ /etc/xinetd.d/telnet systemctl reload xinetd # 启用并启动自定义的telnet服务 systemctl daemon-reload systemctl enable telnet.service --now systemctl status telnet.service注意事项这种方式绕过了xinetd一些原本由xinetd提供的访问控制功能如/etc/xinetd.d/telnet中的only_from等将失效需要依靠防火墙或TCP Wrappers如果编译时支持来实现。除非你对systemd管理有强烈偏好否则对于telnet这种服务沿用传统的xinetd管理方式更为常见和简单。整个安装和配置过程就完成了。核心其实就是理解银河麒麟V10作为RHEL系发行版的软件管理逻辑以及xinetd这个超级守护进程的工作机制。安全永远是悬在头上的剑时刻提醒自己telnet的局限性并在条件允许时尽快迁移到更安全的协议上。