远程设备登入是网络运维日常高频操作二者安全等级差距显著Telnet 传输数据无加密明文极易泄露账号密码SSH 采用加密传输机制生产业务环境优先选用 SSH 协议。但老旧硬件、临时调试场景仍大量依赖 Telnet因此两种登录方式的部署配置都需要熟练掌握。本文整理华为、华三 、中兴、锐捷、迈普、烽火六大主流网络厂商配置方案每一套脚本均完整包含服务开启、管理员账号新建、ACL 源 IP 访问管控、VTY 虚拟终端绑定四大核心模块。配置思路通用各大厂商网络设备的 Telnet、SSH 远程管理配置底层部署逻辑高度统一。1. 启用 Telnet 或 SSH 服务2. 创建本地账号用户名 密码 权限级别3. 配置 ACL限制允许登录的源 IP4. 进入 VTY 线路绑定协议和 ACL5. 配置认证方式AAA 或 local一、华为HUAWEIVRP系统Telnet 配置# 进入系统视图Huawei system-view# 启用 Telnet 服务[Huawei] telnet server enable# 创建本地用户[Huawei] aaa[Huawei-aaa] local-user admin password irreversible-cipher Admin123# 创建用户 admin密码 Admin123irreversible-cipher 表示密码不可逆加密存储[Huawei-aaa] local-user admin privilege level 15# 赋予最高权限级别 150~1515 为最高可执行所有命令[Huawei-aaa] local-user admin service-type telnet# 指定该用户只允许通过 Telnet 方式登录[Huawei-aaa] quit# 配置 ACL限制允许登录的源 IP只允许 192.168.1.0/24 网段[Huawei] acl number 2000[Huawei-acl-basic-2000] rule 5 permit source192.168.1.0 0.0.0.255# 允许 192.168.1.0/24 的主机反掩码写法[Huawei-acl-basic-2000] rule 100 deny source any# 其余全部拒绝兜底规则防止遗漏[Huawei-acl-basic-2000] quit# 进入 VTY 线路绑定 ACL 和认证方式[Huawei] user-interface vty 04# 进入 VTY 0~4 共 5 条线路[Huawei-ui-vty0-4] acl 2000 inbound # 入方向绑定 ACL 2000限制源 IP[Huawei-ui-vty0-4] authentication-mode aaa # 认证方式使用 AAA本地账号[Huawei-ui-vty0-4] protocol inbound telnet # 只允许 Telnet 协议登录[Huawei-ui-vty0-4] quitSSH 配置# 生成 RSA 密钥对SSH 依赖密钥必须先生成[Huawei] rsa local-key-pair create # 生成 RSA 密钥对# 提示输入密钥长度时输入 2048推荐# 启用 STELNET华为叫 STelnet即 SSH over Telnet[Huawei] stelnet server enable# 开启 SSH 服务# 创建 SSH 用户[Huawei] aaa[Huawei-aaa] local-user sshuser password irreversible-cipher Ssh2024[Huawei-aaa] local-user sshuser privilege level 15[Huawei-aaa] local-user sshuser service-type ssh# 注意service-type 改为 ssh不能混用[Huawei-aaa] quit# 用于创建SSH用户并定义其认证方式与服务类型确保通过加密协议实现安全的远程管理[Huawei]ssh user sshuser[Huawei]ssh user sshuser authentication-type password[Huawei]ssh user sshuser service-type stelnet# VTY 绑定 SSH[Huawei] user-interface vty 04[Huawei-ui-vty0-4] acl 2000 inbound[Huawei-ui-vty0-4] authentication-mode aaa[Huawei-ui-vty0-4] protocol inbound ssh# 只允许 SSH 登录去掉 Telnet[Huawei-ui-vty0-4] quit验证命令display ssh server status # 查看 SSH 服务状态display ssh user-information # 查看已配置的 SSH 用户display users # 查看当前在线用户二、华三H3C,Comware系统Telnet 配置# 进入系统视图H3C system-view# 启用 Telnet 服务[H3C] telnet server enable # 开启 Telnet 服务# 创建本地用户[H3C] local-user admin[H3C-luser-manage-admin] password simple Admin123# 设置密码simple 表示明文输入存储时会加密[H3C-luser-manage-admin] authorization-attribute user-role network-admin# 赋予 network-admin 角色H3C 用角色控制权限network-admin 为最高[H3C-luser-manage-admin] service-type telnet # 允许 Telnet 登录[H3C-luser-manage-admin] quit# 配置 ACL[H3C] acl basic 2000[H3C-acl-ipv4-basic-2000] rule 5 permit source192.168.1.0 0.0.0.255[H3C-acl-ipv4-basic-2000] rule 100 deny[H3C-acl-ipv4-basic-2000] quit# VTY 线路配置[H3C] line vty 04# 进入 VTY 0~4[H3C-line-vty0-4] authentication-mode scheme # 认证方式本地账号认证[H3C-line-vty0-4] acl ipv4 2000 inbound # 绑定 ACL[H3C-line-vty0-4] protocol inbound telnet # 限定协议为 Telnet[H3C-line-vty0-4] quitSSH 配置# 生成本地密钥[H3C] public-key local create rsa # 生成 RSA 密钥对建议 2048 位# 启用 SSH 服务[H3C]ssh server enable# 开启 SSH 服务端# 创建 SSH 用户[H3C] local-user sshuser[H3C-luser-manage-sshuser] password simple Ssh2024[H3C-luser-manage-sshuser] authorization-attribute user-role network-admin[H3C-luser-manage-sshuser] service-type ssh# 允许 SSH 登录[H3C-luser-manage-sshuser] quit# VTY 绑定 SSH[H3C] line vty 04[H3C-line-vty0-4] authentication-mode scheme[H3C-line-vty0-4] acl ipv4 2000 inbound[H3C-line-vty0-4] protocol inbound ssh # 改为 SSH 协议[H3C-line-vty0-4] quit验证命令display ssh server # 查看 SSH 服务状态display local-user # 查看本地用户列表display line vty 04 # 查看 VTY 线路配置三、中兴ZTEZXR10系统Telnet 配置# 进入全局配置模式ZTEenableZTE# configure terminal# 启用 Telnet 服务中兴默认启用但可以明确开启ZTE(config)# service telnet # 确保 Telnet 服务开启# 创建本地用户ZTE(config)# username admin privilege 15 password Admin123# 创建用户 admin权限 15最高设置密码# 配置 ACL限制登录源 IPZTE(config)# ip access-list standard LOGIN-ACLZTE(config-std-nacl)# permit 192.168.1.0 0.0.0.255# 允许 192.168.1.0/24 网段ZTE(config-std-nacl)# deny any# 其余拒绝ZTE(config-std-nacl)# exit# 进入 VTY 线路ZTE(config)# line vty 0 4ZTE(config-line)# login local # 使用本地账号认证ZTE(config-line)# access-class LOGIN-ACL in# 绑定 ACLin 表示对入方向的连接进行过滤ZTE(config-line)# transport input telnet # 只允许 Telnet 协议ZTE(config-line)# exitSSH 配置# 生成密钥ZTE(config)# crypto key generate rsa modulus 2048# 生成 2048 位 RSA 密钥SSH 服务依赖此密钥# 启用 SSHZTE(config)# ip ssh version 2 # 强制使用 SSHv2更安全ZTE(config)# ip ssh server enable # 开启 SSH 服务# 创建 SSH 用户与 Telnet 账号相同方式ZTE(config)# username sshuser privilege 15 password Ssh2024# VTY 绑定 SSHZTE(config)# line vty 0 4ZTE(config-line)# login localZTE(config-line)# access-class LOGIN-ACL inZTE(config-line)# transport input ssh # 改为 SSH 协议ZTE(config-line)# exit验证命令show ipssh # 查看 SSH 服务状态和版本show users # 查看当前登录用户show running-config | include username # 查看用户配置四、锐捷RuijieRGOS系统Telnet 配置# 进入特权模式和全局配置RuijieenableRuijie# configure terminal# 启用 Telnet 服务Ruijie(config)# service telnet # 开启 Telnet 服务# 创建本地账号Ruijie(config)# username admin privilege 15 password Admin123# 本地用户 admin最高权限设置密码# 配置 ACLRuijie(config)# ip access-list standard LOGIN-ACLRuijie(config-std-nacl)# permit 192.168.1.0 0.0.0.255Ruijie(config-std-nacl)# exit# VTY 线路配置Ruijie(config)# line vty 0 4Ruijie(config-line)# login local # 本地认证Ruijie(config-line)# access-class LOGIN-ACL in# 绑定 ACL仅允许特定 IP 段登录Ruijie(config-line)# transport input telnet # 限定 Telnet 协议Ruijie(config-line)# exitSSH 配置# 生成 RSA 密钥Ruijie(config)# crypto key generate rsa # 生成密钥按提示选择 2048 位# 启用 SSH 服务Ruijie(config)# ip ssh version 2 # 使用 SSHv2Ruijie(config)# ip ssh server enable # 注部分版本默认开启不需要显式配置# 用户创建同上service-type 无需单独指定锐捷本地用户默认支持 SSH# VTY 绑定 SSHRuijie(config)# line vty 0 4Ruijie(config-line)# login localRuijie(config-line)# access-class LOGIN-ACL inRuijie(config-line)# transport input ssh # 限定 SSH 协议Ruijie(config-line)# exit验证命令show ipssh # 查看 SSH 运行状态show line vty # 查看 VTY 线路状态show users # 当前在线用户五、迈普MaipuMyPowerOS系统迈普的命令风格与思科/锐捷类似CLI 操作习惯基本一致。Telnet 配置# 进入特权和全局配置maipuenablemaipu# configure terminal# 启用 Telnetmaipu(config)# service telnet # 开启 Telnet 服务# 创建本地用户maipu(config)# username admin privilege 15 password Admin123# 创建管理用户权限 15# 配置 ACLmaipu(config)# ip access-list standard LOGIN-ACLmaipu(config-std-nacl)# permit 192.168.1.0 0.0.0.255maipu(config-std-nacl)# exit# VTY 配置maipu(config)# line vty 0 4maipu(config-line)# login local # 本地账号认证maipu(config-line)# access-class LOGIN-ACL inmaipu(config-line)# transport input telnetmaipu(config-line)# exitSSH 配置# 生成密钥maipu(config)# crypto key generate rsa modulus 2048# 启用 SSHmaipu(config)# ip ssh server enablemaipu(config)# ip ssh version 2# VTY 绑定 SSHmaipu(config)# line vty 0 4maipu(config-line)# login localmaipu(config-line)# access-class LOGIN-ACL inmaipu(config-line)# transport input sshmaipu(config-line)# exit验证命令show ipssh # SSH 服务状态show users # 在线用户show running-config line vty # 查看 VTY 配置六、烽火FiberHomeF-engineOS系统烽火的命令行风格因产品系列不同部分接近华为部分接近思科。以下以主流的 NE 系列为参考。Telnet 配置# 进入系统视图FiberHome system-view# 启用 Telnet 服务[FiberHome] telnet server enable# 开启 Telnet 服务# 创建本地用户[FiberHome] aaa[FiberHome-aaa] local-user admin password cipher Admin123# cipher 表示密文存储[FiberHome-aaa] local-user admin privilege level 15# 权限级别 15[FiberHome-aaa] local-user admin service-type telnet[FiberHome-aaa] quit# 配置 ACL[FiberHome] acl number 2000[FiberHome-acl-basic-2000] rule 5 permit source192.168.1.0 0.0.0.255[FiberHome-acl-basic-2000] rule 100 deny source any[FiberHome-acl-basic-2000] quit# VTY 绑定[FiberHome] user-interface vty 04[FiberHome-ui-vty0-4] acl 2000 inbound[FiberHome-ui-vty0-4] authentication-mode aaa[FiberHome-ui-vty0-4] protocol inbound telnet[FiberHome-ui-vty0-4] quitSSH 配置# 生成密钥[FiberHome] rsa local-key-pair create # 生成 RSA 密钥# 启用 SSH[FiberHome] stelnet server enable# 开启 SSH 服务# 创建 SSH 用户[FiberHome] aaa[FiberHome-aaa] local-user sshuser password cipher Ssh2024[FiberHome-aaa] local-user sshuser privilege level 15[FiberHome-aaa] local-user sshuser service-type ssh[FiberHome-aaa] quit# VTY 绑定 SSH[FiberHome] user-interface vty 04[FiberHome-ui-vty0-4] acl 2000 inbound[FiberHome-ui-vty0-4] authentication-mode aaa[FiberHome-ui-vty0-4] protocol inbound ssh[FiberHome-ui-vty0-4] quit验证命令display ssh server statusdisplay usersdisplay acl 2000各厂商配置对比速查厂家命令风格用户创建位置启用 SSH 命令VTY 进入方式华为VRPaaa 视图下stelnet server enableuser-interface vty 0 4华三Comwarelocal-userssh server enableline vty 0 4中兴ZXR10username 全局ip ssh server enableline vty 0 4锐捷RGOSusername 全局ip ssh server enableline vty 0 4迈普MyPowerOSusername 全局ip ssh server enableline vty 0 4烽火F-engineOSaaa 视图下stelnet server enableuser-interface vty 0 4几个容易出错的地方1. Telnet 和 SSH 不要混在同一个 VTY 上# 错误做法两个协议都放进去安全性差protocol inbound all# 正确做法生产环境只开 SSHprotocol inbound ssh2. 配置ACL一定要加兜底 deny不然等于没限制# 只写 permit没有 deny其他 IP 照样能登rule 5 permit source192.168.1.0 0.0.0.255# 兜底拒绝必须加rule 100 deny source any3. SSH 密钥生成前服务 enable 了也没用SSH 服务依赖密钥不生成密钥就 enable连接会直接报错。顺序是先生成密钥 → 再 enable 服务。4. 权限级别别给低了华为/烽火的 privilege level 不到 15很多命令看不到display 都可能受限。运维账号给 15只读账号可以给 3。总结远程登录这件事配对了是工具配错了是漏洞。建议生产环境的原则只开 SSH关掉 TelnetACL 限制到具体的运维 IP 段不要放 any密码复杂度达标定期轮换VTY 空闲超时配上idle-timeout 10 0 — 空闲 10 分钟自动断开记得把整套配置模板存好之后新装交换机、路由器稍微改下 IP 和密码就能直接上线。文章内容对你有帮助的话麻烦点赞收藏方便后续回看或转发给身边需要的网工伙伴非常感谢大家的支持