Ubuntu如何配置Telnet访问权限

Ubuntu 配置 Telnet 访问权限

一 基本准备与启用服务

• 安装所需软件包（提供 Telnet 服务与超级守护进程）：sudo apt update && sudo apt install -y xinetd telnetd。若系统采用 inetd 管理方式，也可安装 inetd 并在 /etc/inetd.conf 中启用 telnet 行。启动与开机自启：sudo systemctl start xinetd && sudo systemctl enable xinetd。默认情况下，Telnet 使用 TCP 23 端口。以上步骤完成后，Telnet 服务将由 xinetd 托管并监听 23 端口。

二 基于主机的访问控制

• 使用 TCP Wrappers 精确放行或拒绝来源主机：编辑 /etc/hosts.deny 拒绝所有 Telnet 访问（telnetd: ALL），在 /etc/hosts.allow 中仅对受信来源放行，例如：telnetd: 192.168.1.100（单 IP）、telnetd: 192.168.1.0/24（网段）、telnetd: .example.com（主机名，需可解析）。如采用 xinetd 管理 Telnet，可在 /etc/xinetd.d/telnet 中设置 use_tcp_wrappers = yes 以确保规则生效。修改后重启 xinetd：sudo systemctl restart xinetd。
• 使用防火墙限制来源网段或关闭服务：启用 UFW 后仅允许受控来源，例如 sudo ufw allow from 192.168.1.0/24 to any port 23/tcp，或直接拒绝 sudo ufw deny 23/tcp；如需彻底禁用，可停止并禁用相关单元（如 sudo systemctl stop telnet.socket 与 sudo systemctl disable telnet.socket）。使用 iptables 时可按源地址放行/丢弃 23 端口流量，并在 /etc/iptables/rules.v4 中持久化保存。以上措施可与 TCP Wrappers 叠加，实现“默认拒绝、显式放行”的最小权限模型。

三 用户登录权限与账户策略

• 默认策略通常禁止 root 通过 Telnet 登录，建议保留此安全设定，日常以普通用户登录后使用 su/sudo 提权。确有需要时，可通过两种方式放开 root 登录：其一，编辑 /etc/pam.d/login，注释掉 auth required pam_securetty.so；其二，将伪终端 pts 加入 /etc/securetty（如 pts/0–pts/9）。上述做法存在显著安全风险，仅建议在隔离网络或测试环境临时使用。

四 验证与运维建议

• 连通性测试：从客户端执行 telnet 服务器IP 23，能登录即表示服务与访问控制策略生效。运行时检查：sudo systemctl status xinetd 查看守护进程状态，ss -lntp | grep :23 或 netstat -tulnp | grep :23 确认 23 端口监听。日志审计：结合 TCP Wrappers 与 xinetd 的日志配置（如 log_type、log_on_failure）审查失败尝试与来源。安全建议：Telnet 为明文协议，生产环境优先使用 SSH；如必须使用 Telnet，务必结合“来源白名单 + 防火墙 + 最小权限账户”策略，并定期更新系统。