簡介面向VMware等虛擬機環(huán)境下配置Telnet遠程登錄Linux的參考文檔適合剛接觸Linux遠程管理的初學者及需要快速搭建實驗環(huán)境的運維人員。文檔以Red Hat Linux 9及Red Hat EL 5為例覆蓋從檢查telnet與telnet-server包、安裝RPM包、修改xinetd配置到配置host-only、bridge、NAT三種虛擬機網(wǎng)絡模式以及調(diào)整防火墻和允許root登錄的完整流程。資源為單個PDF文件大小34KB共1個文件內(nèi)容精煉、步驟清晰便于隨時查閱。目前已有150人學習下載可作為Linux遠程管理入門時的手邊參考尤其能幫助解決“連不上、登錄被拒”等常見問題。文檔中還對SSH Secure Shell Client連接虛擬機做了簡要介紹并整理了telnet-server安裝與測試的實操記錄適合跟著命令行逐步操作快速獲得可復現(xiàn)的排錯思路。1. 用 telnet 遠程登錄虛擬機里的 Linux先理清這條鏈路上的四個環(huán)節(jié)剛裝完 VMware 的讀者十有八九都干過這件事在 Windows 命令行里敲 telnet 加虛擬機 IP結(jié)果不是No route to host就是Connection closed by foreign host。我拆完這份 PDF 之后的感受是telnet 遠程登錄虛擬機下的 Linux 說穿了就四個環(huán)節(jié)——服務端包裝沒裝、xinetd 啟沒啟、網(wǎng)絡通不通、防火墻放沒放行 23 端口。這份資料把這四件事從頭到尾記了一遍既講了 host-only、bridge、NAT 三種網(wǎng)絡模式的配法也寫了 root 登錄被禁時的處理辦法中間還夾了不少真實翻車記錄。適合做課程設計、實驗環(huán)境以及需要在 Windows 和 Linux 虛擬機之間互傳文件的場景。先把這條鏈路疏通后面再談更安全的遠程工具才有意義。2. 安裝 telnet 服務端分清 client 與 server 兩個包再激活 xinetd2.1 先分清兩個包telnet 是客戶端telnet-server 才是服務端很多人在第一步就搞混了。telnet這個 rpm 包是客戶端程序用來發(fā)起連接真正對外監(jiān)聽 23 端口的是telnet-server。CentOS、Red Hat 系默認通常只裝了客戶端服務端要單獨裝所以rpm -qa | grep telnet之后看到telnet-0.17-39.el5這類結(jié)果并不代表服務已經(jīng)能用了必須確認有沒有telnet-server那一行。先做檢查命令如下# 查詢 telnet 相關包是否安裝telnet 是客戶端telnet-server 是服務端 rpm -qa | grep telnet # 如果只看到 telnet-xxx說明服務端沒裝如果兩條都沒有說明客戶端也沒裝這一步的輸出決定了后面的動作。只看得到telnet-0.17-39.el5就說明當前機器只具備發(fā)起連接的能力不具備被連接的能力需要補裝telnet-server。另外需要留意telnet-server 服務在 RHEL 5、CentOS 5 這類系統(tǒng)里是掛在xinetd超級守護進程下面的所以安裝順序上要先有 xinetd再裝 telnet-server反過來經(jīng)常報依賴錯誤。2.2 三種安裝姿勢yum 在線裝、光盤 RPM 裝、裝完直接改配置有網(wǎng)絡的環(huán)境直接走 yum 最省事。CentOS 5.5 實測過下面的命令可以一次拉齊依賴# 先裝 xinetd再裝 telnet-server注意都切到 root 下執(zhí)行 yum install -y xinetd yum install -y telnet-server-y參數(shù)表示安裝過程中的交互提示全部默認 yes腳本化操作時不會卡在確認環(huán)節(jié)。xinetd 是 telnet 的宿主服務它的職責是監(jiān)聽端口、按請求拉起對應的后臺程序所以必須先保證它存在。沒有外網(wǎng)的環(huán)境就用光盤。常見做法是把安裝盤掛載到/mnt/cdr再從光盤里把 rpm 包拷貝出來裝# 建立掛載點并把光驅(qū)掛上去cdr 目錄可以自己命名 mkdir -p /mnt/cdr mount /dev/cdrom /mnt/cdr # 進入光盤目錄按名字找出 telnet 相關安裝包 cd /mnt/cdr find . -name telnet* # 把找到的 rpm 包拷到根目錄下自建的目錄里方便統(tǒng)一安裝 cp telnet-server-0.17-39.el5.i386.rpm /keith/ cd /keith rpm -ivh telnet-server-0.17-39.el5.i386.rpmrpm -ivh里的 i 是 installv 是顯示詳細信息h 是打印進度條。如果這里報依賴缺失基本就是沒先裝 xinetd把 xinetd 的 rpm 也用同樣的方式裝一遍再回頭裝 telnet-server 即可。裝完之后可以用rpm -qa telnet-server驗證能回顯版本號就說明安裝成功。2.3 修改 telnet 配置并重啟 xinetdtelnet-server 裝好之后/etc/xinetd.d/telnet這個配置文件才會出現(xiàn)。文件里默認有一行disable yes意思是服務處于禁用狀態(tài)需要改成no# 編輯 telnet 的 xinetd 配置 vi /etc/xinetd.d/telnet進入 vi 后找到disable yes把 yes 改成 no然后按 ESC 輸入:wq保存退出。如果不想進交互界面也可以用 sed 直接替換# 把 disable yes 替換成 disable no-i 表示直接寫回文件 sed -i s/disable.*.*yes/disable no/ /etc/xinetd.d/telnet注意 sed 的匹配規(guī)則是整行替換如果已經(jīng)有一行是disable no重復執(zhí)行不會產(chǎn)生副作用這點比手改更穩(wěn)。改完配置后必須重啟 xinetd 才能生效# 重啟 xinetd讓新配置加載 service xinetd restart # 查看 23 端口是否處于監(jiān)聽狀態(tài) netstat -tunlp | grep 23netstat 輸出里能看到tcp 0 0 0.0.0.0:23之類的行說明服務已經(jīng)監(jiān)聽。接下來可以在本機做一次自測telnet localhost如果出現(xiàn)login:提示符說明服務端配置沒問題可以進入網(wǎng)絡和防火墻的排查環(huán)節(jié)了。3. 三種虛擬機網(wǎng)絡模式host-only / bridge / NAT 的連通條件與驗證方法3.1 host-only 模式的配置邏輯宿主機做網(wǎng)關host-only 模式下虛擬機只能和宿主機通信默認上不了外網(wǎng)。它的原理是 VMware 在宿主機上創(chuàng)建了一塊虛擬網(wǎng)卡 vmnet1虛擬機的流量全部走這塊網(wǎng)卡。要讓虛擬機訪問外部網(wǎng)絡常見做法是把 vmnet1 在宿主機側(cè)設置為共享然后以 vmnet1 的 IP 作為虛擬機的網(wǎng)關。具體配置時先在 Windows 的“網(wǎng)絡連接”里找到 vmnet1 對應的網(wǎng)卡右鍵屬性切到“高級”標簽勾選 Internet 連接共享共享對象選 vmnet1。然后改虛擬機里的 Linux IP# 假設宿主機 vmnet1 的 IP 是 192.168.0.1 # 把虛擬機 IP 改成 192.168.0.100掩碼 255.255.255.0網(wǎng)關指向 vmnet1 ifconfig eth0 192.168.0.100 netmask 255.255.255.0 route add default gw 192.168.0.1route add default gw的意思是添加一條默認路由所有去往非本網(wǎng)段的流量都會交給 192.168.0.1 轉(zhuǎn)發(fā)。host-only 最容易犯的錯是把虛擬機和宿主機配成不同網(wǎng)段兩邊都認為自己沒走錯實際數(shù)據(jù)包根本出不去。配置完先ping 192.168.0.1通了再繼續(xù)。3.2 bridge 模式與 NAT 模式兩者對 IP 的要求完全不同bridge 模式是把虛擬機模擬成局域網(wǎng)里的一臺獨立主機虛擬機的 IP、掩碼、網(wǎng)關、DNS 都要和宿主機處于同一個網(wǎng)段。比如宿主機 IP 是 192.168.1.18那虛擬機可以配成 192.168.1.252網(wǎng)關指向 192.168.1.1DNS 按局域網(wǎng)實際配置填。這種模式最接近真實網(wǎng)絡環(huán)境虛擬機和其他機器互訪都不受限制。修改 IP 的常規(guī)做法是編輯網(wǎng)卡配置文件# RHEL 6 及之前的版本網(wǎng)卡配置文件是 ifcfg-eth0CentOS 7 后叫 ifcfg-ens33 vi /etc/sysconfig/network-scripts/ifcfg-eth0文件里需要保證這幾行的值正確BOOTPROTOstatic表示靜態(tài) IPIPADDR填規(guī)劃好的虛擬機 IPNETMASK填 255.255.255.0GATEWAY填局域網(wǎng)網(wǎng)關ONBOOTyes保證開機自動激活網(wǎng)卡。改完執(zhí)行service network restart生效。bridge 模式下常見的 ping 不通現(xiàn)象十有八九是 IP 和網(wǎng)關不在同一網(wǎng)段或者網(wǎng)關寫錯。NAT 模式則相反虛擬機是 VMware 虛擬出來的私網(wǎng)地址通常不用手動配 IPDHCP 會自動分配。這種模式下虛擬機訪問宿主機通常沒問題但宿主機想直接 ping 虛擬機私網(wǎng)地址反而經(jīng)常不通因為流量走的是 vmnet8 而不是普通網(wǎng)卡路徑很多人第一次在 NAT 模式下被這個現(xiàn)象坑到實際上不需要糾結(jié)直接測虛擬機到宿主機的連通性即可。3.3 網(wǎng)絡連通性驗證從本機到網(wǎng)關再到對端不管是哪種模式網(wǎng)絡是否打通只能靠實測。我在實際排查時固定用一套順序不會一上來就 ping 對端# 第一步確認虛擬機網(wǎng)卡是否激活并拿到了 IP ifconfig eth0 # 第二步查看路由表確認默認網(wǎng)關存在 route -n # 第三步先 ping 網(wǎng)關 ping -c 4 192.168.1.1 # 第四步再從宿主機 ping 虛擬機 IP ping 192.168.1.252ping -c 4表示只發(fā) 4 個 ICMP 包就結(jié)束避免 CtrlC 中斷的麻煩。第三步能通說明虛擬機出得去第四步能通說明宿主機進得來。兩者都通telnet 連接在網(wǎng)絡上就沒有障礙了。如果第三步通而第四步不通問題在宿主機側(cè)優(yōu)先查主機防火墻是否攔了 ICMP如果第三步就不通問題在虛擬機側(cè)回過去查網(wǎng)關和網(wǎng)卡配置。4. iptables 放行 23 端口與 root 登錄限制兩道最隱蔽的坎4.1 防火墻放行 23 端口從臨時 stop 到持久規(guī)則網(wǎng)絡通了之后telnet 連接大概率會卡在防火墻這一關。CentOS 5、RHEL 5 時代默認的防火墻策略比較嚴格只放行了 SSH22 端口23 端口默認拒絕。最直接的驗證辦法是暫時關閉防火墻再試一次# 臨時關閉防火墻重啟后失效適合快速定位問題 service iptables stop如果關掉防火墻后 telnet 能通說明問題確定在 iptables 規(guī)則上這時候再決定是開放端口還是關防火墻。實驗室環(huán)境臨時用可以service iptables stop但重啟后規(guī)則會回來需要配合chkconfig iptables off才能永久關閉。不過我不建議一上來就關防火墻正確的處理方式是放行 23 端口# -I INPUT 表示把規(guī)則插到 INPUT 鏈最前面-p 指定協(xié)議--dport 指定目標端口 iptables -I INPUT -p tcp --dport 23 -j ACCEPT iptables -I INPUT -p udp --dport 23 -j ACCEPT # 保存規(guī)則重啟 iptables 后仍然有效 service iptables save service iptables restart-j ACCEPT表示匹配到的包直接放行。telnet 服務用的是 TCP 協(xié)議其實只放行 TCP 就夠了加 UDP 那條是為了避免某些系統(tǒng)里 telnet 相關探測誤傷。手改/etc/sysconfig/iptables文件也能達到同樣效果但規(guī)則鏈的順序、鏈名在不同系統(tǒng)版本里略有差異文件里插錯位置會導致規(guī)則不生效我在這上面栽過跟頭所以更推薦先用命令行插入規(guī)則再用service iptables save落盤。4.2 root 登錄被拒pam_securetty.so 才是真兇telnet 默認禁止 root 用戶直接登錄這是初學者最容易誤判的一步。明明賬號密碼都正確連接卻被斷開錯誤信息又不夠直白。原因是 PAM 認證模塊里的pam_securetty.so會檢查 root 登錄的終端是否被允許而 telnet 對應的偽終端不在默認安全列表里。解決辦法有兩個。第一個是注釋掉/etc/pam.d/login里的對應行# 編輯 PAM 配置文件找到下面這行并在前面加 # 注釋 vi /etc/pam.d/login # auth required pam_securetty.so第二個更粗暴直接把/etc/securetty文件改名讓 PAM 檢查落空# 備份 securetty 文件使 root 登錄不受終端限制 mv /etc/securetty /etc/securetty.bak兩種方法都能讓 root 遠程登錄進去但我要多說一句telnet 本身是明文傳輸root 權(quán)限一旦被截獲風險極大建議不要為了一時方便改掉這個限制。穩(wěn)妥的做法是用普通用戶登錄再執(zhí)行su -切換到 root密碼即使被截獲也只是普通用戶權(quán)限風險等級完全不同。以下表格整理了涉及的文件和各自作用文件作用處理方式/etc/pam.d/login登錄認證規(guī)則注釋 pam_securetty.so 行/etc/securetty定義 root 可登錄的終端列表改名備份謹慎操作/etc/xinetd.d/telnettelnet 服務開關disable 改為 no/etc/sysconfig/iptables防火墻持久規(guī)則加入 23 端口放行4.3 /etc/hosts 與 hosts.allow、hosts.deny訪問控制的最后一層防火墻和 PAM 都過了telnet 連接還有可能被/etc/hosts和 TCP Wrapper 攔下來。/etc/hosts文件里如果沒有客戶機的 IP 映射telnet 連接建立后反向解析主機名就可能失敗表現(xiàn)出來就是連上了又被立刻斷開錯誤信息里帶著Temporary failure in name resolution。處理方法是在/etc/hosts里追加客戶機 IP 和主機名的映射# 把客戶機的 IP 和主機名寫進 hosts 文件注意不要刪掉原有的 localhost 行 echo 192.168.1.88 client1 /etc/hosts另外/etc/hosts.allow和/etc/hosts.deny這兩個文件由 TCP Wrapper 機制控制如果 deny 文件里有類似ALL: ALL的規(guī)則所有 telnet 連接都會被拒。檢查的方式很簡單# 查看 deny 文件里有沒有非注釋規(guī)則grep -v ^# 用來過濾掉注釋行 grep -v ^# /etc/hosts.deny如果輸出為空白說明沒有默認拒絕規(guī)則如果有內(nèi)容逐條確認是否覆蓋了客戶機 IP。這三個文件屬于“配置沒問題時感覺不到、出了問題又很難想到”的類型每次排查 telnet 我都會順手看一遍不是玄學是真踩過。5. telnet 排錯避坑五個真實故障記錄與處理思路5.1 故障一No route to host連接被直接拒絕執(zhí)行telnet 192.168.1.87后提示No route to host。按字面理解是路由不可達但實際上最常見的原因是宿主機防火墻丟棄了發(fā)往 23 端口的包或者虛擬機 IP 與宿主機不在同一網(wǎng)段。處理順序是先確認兩端 IP 是否同網(wǎng)段再檢查防火墻規(guī)則。同網(wǎng)段的情況下直接service iptables stop臨時關閉防火墻測試能通就說明是防火墻攔的回到第 4 章用 iptables 放行 23 端口。這條經(jīng)驗幫我省了很多次來回折騰。5.2 故障二Temporary failure in name resolution連上又被斷開telnet 已經(jīng)顯示Connected to緊接著報getnameinfo: localhost: Success和Temporary failure in name resolution: Illegal seek然后連接被關閉。這種表現(xiàn)很容易讓人誤以為是認證問題實際是/etc/hosts文件缺少客戶機 IP 映射導致服務端做反向域名解析時失敗。在/etc/hosts中補上客戶機的 IP 和主機名即可比如192.168.1.88 client1。這個坑的隱蔽之處在于它只影響有連接建立動作的協(xié)議ping 完全正常讓人根本想不到是 DNS 解析的問題。從那以后我配任何遠程服務都會先確認 hosts 文件。5.3 故障三Windows 端 Telnet 拒絕訪問提示不是 TelnetClients 組成員這個故障不在 Linux 側(cè)而是 Windows 的 Telnet 服務有自己的用戶組限制。Windows 開啟 Telnet 服務后默認只允許 TelnetClients 組的成員登錄管理員在服務器上也需要先加入該組否則提示“指定用戶不是 TelnetClients 組成員”。另外 Windows 的 Telnet 服務不允許空密碼沒有設置密碼的用戶會被直接拒絕。解決方式是在 Windows 的“計算機管理 - 本地用戶和組”里把目標用戶加入 TelnetClients 組并確保設置了非空密碼。這個案例提醒我telnet 排錯不要只盯著 Linux 側(cè)兩端服務的用戶策略都可能成為瓶頸。5.4 故障四手改 iptables 配置文件不生效修改/etc/sysconfig/iptables文件、在末尾加上放行 23 端口的規(guī)則后重啟 iptablestelnet 仍然不通。反復試了幾次都失敗最后發(fā)現(xiàn)是規(guī)則鏈名與系統(tǒng)版本不匹配舊版本默認鏈叫RH-Firewall-1-INPUT新版本是INPUT手寫規(guī)則時用錯了鏈名規(guī)則被靜默丟棄。解決方式是優(yōu)先使用命令行工具而非直接編輯文件。iptables -I INPUT -p tcp --dport 23 -j ACCEPT這條命令由內(nèi)核解析不會出現(xiàn)鏈名不匹配的問題然后再用service iptables save把規(guī)則寫入配置文件。如果確實需要手動編輯文件務必先用iptables -L -n查看當前實際使用的鏈名。5.5 故障五虛擬機網(wǎng)絡時好時壞宿主機上的虛擬網(wǎng)卡軟件干擾路由宿主機上安裝了第三方虛擬網(wǎng)卡類軟件后Linux 虛擬機出現(xiàn)無法上網(wǎng)、ping 不通外部地址的現(xiàn)象但虛擬機與宿主機之間的通信又正常。根因是第三方軟件在宿主機上創(chuàng)建了新的虛擬網(wǎng)絡適配器搶占了默認路由導致虛擬機的流量沒有走 VMware 的網(wǎng)卡通道。處理方式是在 Windows 的“網(wǎng)絡連接”中找到對應的虛擬網(wǎng)卡適配器并禁用禁掉之后立即恢復。這類問題在虛擬機網(wǎng)絡排查中很容易被忽略因為 VMware 自身的網(wǎng)卡配置完全正確問題偏偏出在宿主機側(cè)的第三方設備上。我在處理這類故障時養(yǎng)成了一個習慣先看宿主機當前活躍的網(wǎng)絡適配器列表再決定要不要深入排查虛擬機內(nèi)部配置。6. telnet 通了之后用 SSH 接管遠程操作與文件傳輸telnet 鏈路打通只是第一步實際使用中我通常只在驗證網(wǎng)絡和應急場景下用 telnet日常遠程操作優(yōu)先切到 SSH。telnet 的數(shù)據(jù)包全部明文傳輸包括用戶名和密碼在虛擬機和宿主機之間調(diào)試還能接受一旦涉及真實服務器就必須換 SSH。在 CentOS 5 這類老系統(tǒng)上啟用 SSH 服務的步驟很簡單# 查看 sshd 服務在哪些運行級別下啟用 chkconfig --list | grep sshd # 如果只在運行級別 3 啟用保持即可確保防火墻放行 22 端口 iptables -A INPUT -p tcp --dport 22 -j ACCEPT iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT service iptables save service sshd restart虛擬機網(wǎng)卡建議設為橋接模式這樣宿主機和虛擬機處于同一網(wǎng)段SSH 連接更直觀。Windows 側(cè)可以使用 SSH Secure Shell Client 這類工具點擊 Quick Connect輸入虛擬機 IP、用戶名端口選擇 22Authentication 選 Password點擊 Connect 后輸入密碼即可。也可以用命令行直接驗證# 一行命令登錄遠程主機并執(zhí)行兩個命令注意 IP 換成自己的虛擬機地址 ssh root192.168.1.252 uptime; last -5這種方式適合寫腳本做巡檢不需要進入交互式 shell。文件傳輸則用 scp 解決它基于 SSH 通道比 telnet 時代傳文件的方式安全得多# 把本地的 tar 包推送到虛擬機的 /root 目錄下 scp /tmp/backup.tar.gz root192.168.1.252:/root/關于遠程登錄的權(quán)限策略我的習慣是堅持不開放 root 直連telnet 和 SSH 都只允許普通用戶登錄需要管理員權(quán)限時再 su 切換。telnet 階段的 root 限制其實是在保護你明文通道加 root 權(quán)限是最危險的組合。從那以后我每次配完虛擬機遠程登錄都強制走一遍端口監(jiān)聽檢查、防火墻放行確認、hosts 文件校驗、root 登錄策略核對這四步telnet 通了再上 SSH順序不亂問題就好定位。希望這份記錄幫你在虛擬機遠程登錄這條路上少踩幾個坑。本文還有配套的精品資源點擊獲取