当前位置：首页 > 虚拟主机 > 正文

思科交换机怎么配置telnet？配置telnet远程登录命令详解

admin
虚拟主机
2026-08-28
6

在思科交换机上配置 Telnet 是远程管理网络设备的基础操作，但 Telnet 明文传输存在严重安全隐患，正确做法是配置 VTY 线路认证、启用特权密码、限制管理源地址，并强烈建议改用 SSH，本文从基础配置到安全加固，提供可直接落地的完整方案。

配置 Telnet 前的必备条件

设备可达：交换机管理接口（VLAN 1 或专用管理 VLAN）已配置 IP 地址，且 PC 与交换机之间网络互通。
权限准备：需要能通过 Console 口登录设备，以便进入全局配置模式。
版本差异：思科 IOS 与 IOS-XE 命令基本一致，Catalyst 2960/3560/3850 等常见型号均可参考本文。

基础 Telnet 配置四步走

配置管理 IP 地址

Switch(config)# interface vlan 1 Switch(config-if)# ip address 192.168.1.254 255.255.255.0 Switch(config-if)# no shutdown Switch(config-if)# exit

若使用专用管理 VLAN，将 VLAN 接口替换为对应编号，并确保端口加入该 VLAN。

配置 VTY 线路并启用 Telnet

VTY 是虚拟终端线路，默认有 0-15 共 16 条，配置登录认证与协议：

Switch(config)# line vty 0 4 Switch(config-line)# transport input telnet Switch(config-line)# password cisco123 Switch(config-line)# login Switch(config-line)# exit

transport input telnet：明确允许 Telnet 协议，若同时需要 SSH，可写 transport input telnet ssh。
password：登录密码，弱密码在真实环境中极易被暴力免费。
login：启用密码认证，缺失该命令会导致无法登录。

配置特权模式密码

登录后进入特权模式需要二次认证：

Switch(config)# enable secret admin@2024

enable secret 使用 MD5 哈希存储，比 enable password 更安全，强烈建议只用 secret。

保存配置

Switch# copy running-config startup-config

不保存则重启后配置全部丢失。

思科交换机怎么配置telnet？配置telnet远程登录命令详解第1张

安全加固：防止 Telnet 成为后们

仅完成上述步骤只能实现“能登录”，绝不能用于生产环境。 以下加固项必须执行：

限制管理源地址

只允许特定 IP 或网段访问 VTY：

Switch(config)# access-list 10 permit 192.168.100.0 0.0.0.255 Switch(config)# line vty 0 4 Switch(config-line)# access-class 10 in

这样其他来源的 Telnet 请求会被直接拒绝，大幅降低扫描攻破风险。

设置空闲超时与登录重试限制

Switch(config)# line vty 0 4 Switch(config-line)# exec-timeout 5 0 Switch(config-line)# login block-for 120 attempts 3 within 30

exec-timeout：5 分钟无操作自动断开。
login block-for：30 秒内 3 次失败则阻断 120 秒，有效防暴力免费。

禁用不必要的 VTY 线路

只保留实际使用的线路：

Switch(config)# line vty 0 15 Switch(config-line)# transport input none

将未使用的 vty 5-15 全部禁止协议，避免被利用。

思科交换机怎么配置telnet？配置telnet远程登录命令详解第2张

西西云经验案例：混合云环境中的设备管理实践

西西云在托管客户混合云架构时，常遇到客户直接对思科交换机开启 Telnet 且未限制源 IP 的情况。 我们曾处理过一起事件：某客户核心交换机被扫描到 23 端口开放，攻破者尝试弱口令组合，虽然密码复杂度尚可未攻破，但日志中记录了数千条失败尝试。

我们的标准解决方案是：

立刻将 transport input 改为仅 SSH，并生成 RSA 密钥；
将管理 VTY 的访问控制列表（ACL）绑定到西西云云防火墙的源地址策略，只允许客户办公网固定公网 IP 访问；
在交换机上配置 AAA 认证，对接西西云提供的跳板机（堡垒机）统一审计。

这个案例的核心经验是：Telnet 不是不能用，而是必须配合严格的边界控制和审计机制，如果云环境中有公网暴露，宁可不用 Telnet，也必须用 SSH。 西西云所有云上网络设备的远程管理默认关闭 Telnet，仅开放 SSH，并在安全组层面做双重限制。

Telnet 与 SSH 的选型建议

如果你的设备支持 SSH（几乎全系支持），请直接跳过高危的 Telnet 配置。 思科设备启用 SSH 只需三步：

思科交换机怎么配置telnet？配置telnet远程登录命令详解第3张

配置域名与 RSA 密钥： Switch(config)# ip domain-name coolfan.com Switch(config)# crypto key generate rsa modulus 2048
在 VTY 线路下： Switch(config-line)# transport input ssh Switch(config-line)# login local
创建本地用户： Switch(config)# username admin privilege 15 secret Coolfan@2024

对于必须使用 Telnet 的旧设备或临时调试场景，请务必遵守： 只在可信内网使用、开启 ACL 限制、使用复杂密码、启用审计日志。