中间设备够不着：路由器当跳板Telnet接力登旧设备

整理自华为官方发布的典型配置案例。

机房里总有几台老设备只开着Telnet，管理终端与它们之间又没有直达路由，想登上去改个配置都够不着。华为设备的Telnet客户端功能正好补这个空当：先登上网络里路由可达的一台设备，再从它身上发起第二次Telnet，接力跳到目标设备。服务端再配一条ACL只认跳板机的地址，旧设备的管理入口既够得着，又不对外开放。

服务端先备好：验证方式与账号

目标设备（示例中的 Device2）要先开好 Telnet 服务端。VTY 用户界面挂上 AAA 验证，协议限定为 Telnet，权限给到管理级：

[Device2] user-interface vty 0 4
[Device2-ui-vty0-4] authentication-mode aaa
[Device2-ui-vty0-4] user privilege level 3
[Device2-ui-vty0-4] protocol inbound telnet
[Device2-ui-vty0-4] quit
[Device2] telnet server enable
[Device2] telnet server port 1025
[Device2] telnet server-source all-interface

官方示例顺手把服务端口从缺省的 23 改成了 1025，公网扫描器盯惯了 23 端口，换一个端口能少挨很多试探。账号走 AAA 本地用户，服务类型限定 telnet：

[Device2] aaa
[Device2-aaa] local-user admin1234 password
[Device2-aaa] local-user admin1234 service-type telnet
[Device2-aaa] local-user admin1234 privilege level 3
[Device2-aaa] quit

telnet server-source all-interface 的含义是允许所有接口接收管理连接，多网段接入的设备不必再挑口；VTY 则是设备为远程登录准备的虚拟线路，示例里开了 0 到 4 共五路，登录回显里"当前在线用户数"就数在这几条线路上，日常维护绰绰有余，也给并发排障留了余量。

收紧入口：只放行跳板机的地址

跳板方案的价值在可控。ACL 只允许跳板机的地址进来，其余来源在 VTY 入方向直接拒掉：

[Device2] acl 2000
[Device2-acl4-basic-2000] rule permit source 10.1.1.1 0
[Device2-acl4-basic-2000] quit
[Device2] user-interface vty 0 4
[Device2-ui-vty0-4] acl 2000 inbound
[Device2-ui-vty0-4] quit

从跳板接力登录

在跳板机上敲 telnet 加目标地址即可发起第二跳，输入用户名密码通过验证后，就落在了目标设备的用户视图上，改配置、查状态与本地登录没有区别。首次登录会强制修改初始密码，这是设备的缺省安全行为，跟着提示走一遍就好。

这套姿势在两种场合最常见：一是代维进场，管理终端只与核心可达，接入层的旧设备要逐台调整，逐段接力比翻跳线快得多；二是多客户机房，跳板机按客户分权限，一跳进去只看自己那片。配合 VTY 上的 ACL，能登录旧设备的来源被收窄到一台，出了事先查它，审计口径也顺了。

要补一句明话：Telnet 报文是明文，账号口令在网络上等于裸奔，官方回显里也专门弹出提醒。跳板链路尽量收在独立的管理网段里，与业务流量分流，能用加密方式替代时尽早换。

避坑三条

• 配置前先确认设备间路由可达，跳板链路断了这条路也就断了，重要变更别只留这一条路；
• 环境不够安全时，官方建议改用 STelnet 这类加密方式，Telnet 报文是明文的，管理网段尽量独立；
• 本地管理员用户首次登录必须改密码是缺省强制行为，如确有免改密需求可关闭强制项，但官方提示这会带来安全风险，慎用。

跳板纳管与旧设备维护这类整改，贵州诚鑫致达科技可以代做配置，欢迎搜索了解。

企业存储选型参考｜贵州诚鑫致达

做高可用与业务不间断保障，群晖机型参考：PAS7700 · RS2423RP+ · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西藏·拉萨企业数据存储与备份容灾，支持远程与驻场。