CentOS如何配置telnet服务并解决连接失败的问题？

在CentOS系统上启用Telnet服务是一项相对直接的管理任务,但鉴于其固有的安全缺陷，这一操作通常仅在特定的隔离环境或用于调试旧设备时才被考虑，在现代网络管理中，SSH（Secure Shell）协议因其强大的加密功能而成为远程登录的绝对标准，尽管如此，了解如何配置Telnet服务对于系统管理员而言仍是一项有价值的技能，以下将详细介绍在CentOS系统上安装、配置并启动Telnet服务的完整流程，同时也会强调相关的安全注意事项。

安装Telnet服务端软件包

在CentOS 7、8及Stream版本中，Telnet服务并未默认安装，我们需要使用dnf（或yum）包管理器来安装必要的软件，这包括服务端软件包telnet-server和可选的客户端软件包telnet，后者可用于从本地测试连接。

打开终端,执行以下命令：

sudo dnf install telnet-server telnet -y

此命令会自动下载并安装Telnet服务及其依赖项,安装完成后，服务本身尚处于禁用状态，需要我们手动进行配置和启动。

启用并启动服务

在现代CentOS版本中,Telnet服务通常通过systemd的套接字激活机制来管理，这意味着系统无需在后台持续运行一个Telnet守护进程，而是在有连接请求到达端口23时，才由systemd临时启动服务，这种方式更为高效。

要启用并启动Telnet服务,需要操作的是telnet.socket单元，执行以下两条命令：

sudo systemctl enable telnet.socket
sudo systemctl start telnet.socket

第一条命令enable将telnet.socket设置为开机自启，第二条命令start则立即激活该套接字，使其开始监听连接请求，您可以随时通过以下命令检查服务状态：

systemctl status telnet.socket

如果输出中显示“active (listening)”，则表示套接字已成功启动并正在监听。

配置防火墙规则

CentOS系统默认使用firewalld作为防火墙管理工具，Telnet服务使用TCP协议的23端口，此端口默认是关闭的，为了允许外部客户端访问，必须向防火墙中添加相应的规则。

执行以下命令来永久开放Telnet服务端口：

sudo firewall-cmd --permanent --add-service=telnet

--permanent参数确保该规则在防火墙重启或系统重启后依然有效，添加规则后，需要重新加载防火墙配置使其生效：

sudo firewall-cmd --reload

您可以通过sudo firewall-cmd --list-all命令来验证telnet服务是否已成功添加到允许的列表中。

配置SELinux策略

SELinux（Security-Enhanced Linux）是CentOS的一个核心安全模块，它可能会阻止Telnet服务，特别是阻止root用户通过Telnet登录，为了使Telnet服务能够正常工作，可能需要调整SELinux的策略。

检查SELinux的当前运行模式：

getenforce

如果输出为Enforcing（强制模式），Telnet连接可能会被拒绝，虽然最不推荐的做法是将其设置为Permissive（宽容模式）或Disabled（禁用），但一个更精细的方法是设置特定的SELinux布尔值，对于Telnet，一个常见的临时解决方案是允许其网络连接：

sudo setsebool -P telnetd_disable_trans on

重要提示：此操作会降低系统的安全性，在生产环境中，强烈建议保持SELinux为强制模式，并使用安全的SSH协议，配置SELinux允许Telnetroot登录更是极其危险的行为，应严格避免。

测试远程连接

完成以上所有配置后,即可从另一台计算机上测试Telnet连接，在客户端的终端（可以是Linux、macOS或Windows的CMD/PowerShell）中，使用以下命令：

telnet <服务器IP地址>

如果一切正常,您将会看到类似“Kernel 5.x.x on an x86_64”以及登录提示符（login:）的输出，您可以输入CentOS系统中的一个普通用户名和密码进行登录。

重要安全提醒

必须再次强调,Telnet是一种极度不安全的协议，它在网络上以明文形式传输所有数据，包括您的用户名和密码，任何在网络路径上（同一Wi-Fi下的攻击者）进行嗅探的人都可以轻易捕获您的登录凭据。在任何不受信任的网络或生产环境中，都应绝对避免使用Telnet，请始终优先使用SSH，它通过公钥加密技术为整个通信过程提供了强大的安全保障。

相关问答 FAQs

问题1：我已经按照步骤操作，但仍然无法连接到Telnet服务，可能是什么原因？
解答： 连接失败通常是多方面因素导致的，建议按以下顺序排查：

1. 服务状态：确认telnet.socket确实处于“active (listening)”状态，使用systemctl status telnet.socket检查。
2. 防火墙：再次确认防火墙规则已正确添加并重新加载，使用sudo firewall-cmd --list-services查看telnet是否在列表中。
3. SELinux：检查/var/log/audit/audit.log或使用journalctl -xe查看是否有SELinux的拒绝（denied）日志，如果有，需要调整SELinux策略。
4. 网络连通性：确保客户端能够ping通服务器IP地址，并且两者之间没有其他网络设备（如硬件防火墙）阻止23端口。
5. 用户权限：默认情况下，SELinux策略可能禁止root用户通过Telnet登录，请尝试使用一个普通非root用户进行登录测试。

问题2：Telnet和SSH有什么区别？在什么情况下应该考虑使用Telnet？
解答： 两者的核心区别在于安全性。

• Telnet：使用明文传输所有数据，包括认证信息，默认端口为23，它是一个古老且不安全的协议。
• SSH (Secure Shell)：通过强大的加密技术对整个会话（包括登录和后续所有数据传输）进行加密，默认端口为22，它是现代远程管理和文件传输的安全标准。

使用场景：在99%的情况下，您都应该选择SSH，只有在极少数特殊场景下，才可能考虑使用Telnet，

• 调试旧设备：某些非常古老的网络硬件（如交换机、路由器）仅支持Telnet管理接口。
• 完全隔离的网络环境：在一个物理上与外部网络完全隔离、绝对可信的实验室或内部网络中，为了临时测试网络连通性，可能会使用Telnet。
  即便在这些场景下，一旦任务完成，也应立即关闭Telnet服务。