Telnet 服务的开启与关闭
Telnet 明文传输账号口令，规范做法是彻底关闭，只保留 SSH。三厂控制方式不同：华为有全局服务开关且新版本默认关闭，需要显式开启；H3C Comware 默认开启，必须主动关闭；思科没有独立的 Telnet 开关，由 VTY 线路的 transport input 决定放行哪些协议。过渡期确实需要 Telnet 时，至少配合 ACL 限制源地址。
基本信息
| 适用平台 | 华为 VRP、H3C Comware、思科 IOS |
|---|---|
| 端口 | TCP 23，明文传输，链路上可被直接嗅探 |
| 华为默认 | 较新版本默认关闭，需显式开启 |
| H3C 默认 | Comware 默认开启，开局即应关闭 |
| 思科控制点 | line vty 下 transport input ssh 或 none |
三厂对照
| 目标 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 关闭 Telnet | undo telnet server enable | undo telnet server enable | transport input ssh 或 none |
| 开启 Telnet | telnet server enable | telnet server enable | transport input telnet 或 all |
| 确认状态 | display telnet server status | display telnet server status | show line vty 0 4 |
| 加固补充 | 配合 ACL 限源 | 配合 ACL 限源 | 配 access-class 限源 |
典型使用场景
- 安全基线整改：关闭明文协议，只保留 SSH 登录
- 老设备暂不支持 SSH，过渡期开启 Telnet 并用 ACL 限制到管理网段
- 排障时临时开启 Telnet 抓包定位，用完立即关闭
- 审计检查：确认设备上不存在默认放行的明文管理通道
- 新设备开局时按规范一次性关闭，避免后续遗忘
华为 VRP
华为 VRP
telnet server enable # 开启（过渡期使用）
undo telnet server enable # 关闭：推荐常驻状态
display telnet server status # 确认当前状态
acl 2000 # 过渡期加固：只放行管理网段
rule 5 permit source 10.10.0.0 0.0.0.255思科 IOS 与 H3C Comware
思科 IOS 与 H3C Comware
line vty 0 4 # 思科：按线路控制协议
transport input ssh # 只允许 SSH
transport input none # 或彻底关闭远程登录
show line vty 0 4 # 查看线路配置
undo telnet server enable # H3C：Comware 默认开启，需主动关闭
display telnet server status默认状态差异是最容易漏的点：H3C 默认开着 Telnet，必须执行过关闭命令才算合规；华为较新版本默认关闭，需要时显式开启。思科不设独立开关，只看 VTY 线路放行了哪些协议，因此同一品牌不同型号的合规判定方式并不一样。
过渡期必须开 Telnet 时，把源地址限制在管理网段，并规定明确的关闭时间点。Telnet 口令在链路上明文可见，任何能抓到管理流量的位置都能直接拿到账号。