1. 背景与目标
Telnet 的风险概览
在 Debian 环境中，Telnet 传输明文凭证，存在被嗅探与中间人攻击的高风险，这对服务器的登录安全构成直接威胁。若某一台设备暴露在公网或不受信任的网络中，攻击者极易通过简单的端口扫描发现 Telnet 服务并尝试登录。本文聚焦的核心是通过禁用 Telnet、转而部署 SSH 来提升系统的认证与数据加密水平，因此可以显著降低凭据被窃取的概率。
SSH 提供端到端的加密通道与更强的认证机制，是当前 Debian 上的行业标准做法。将 Telnet 替换为 SSH，配合密钥登录和适当的安全策略，可以实现更可控的安全边界。
部署要点与目标
通过以下步骤实现：彻底禁用 Telnet 服务、安装并配置 OpenSSH 服务器、采用公钥认证、禁用密码登录并限制 root 登录、以及通过防火墙和日志工具提升整体防护层级。
本指南覆盖从环境自查到长期维护的完整要点，确保 Debian 系统在尽量低的风险水平下运行。
2. Debian 环境下 Telnet 的检测与清理
检查系统中是否存在 Telnet 服务及监听端口
第一步是确认是否已经安装 Telnet 服务，以及是否有 Telnet 端口正在监听。使用下面的命令进行快速排查，可以帮助确认清除的优先级。
如果发现端口 23 有监听且对应的服务在运行，表示 Telnet 仍处于启用状态，需要进一步处理。
# 查找 Telnet 相关进程或监听端口
sudo ss -tlnp | grep :23
# 或列出已安装的 telnet 相关包
dpkg -l | grep -i telnet
下一步通常是移除 Telnet 相关包以避免误启；在 Debian 中常用的清理方式包括卸载 telnet 及 telnetd，确保系统不再提供 Telnet 服务。
sudo apt-get purge -y telnet telnetd
3. 禁用 Telnet 服务的完整要点
停用与卸载 Telnet 服务的具体步骤
以系统级停止与禁用 Telnet 服务为第一优先级，避免后续再次被自动启动。不同系统初始化方式可能略有差异，但核心思想是一致的：阻断服务、阻止自启动、并彻底删除相关包。
在 Debian 系统中，常见做法包括停止相关服务、禁用自启动以及卸载包，同时对可能的 socket 进行处理。
# 尝试停止 Telnet 相关服务/套接字
sudo systemctl stop telnet.socket 2>/dev/null || true
sudo systemctl stop telnet.service 2>/dev/null || true# 禁用自启动（若可用）
sudo systemctl disable telnet.socket 2>/dev/null || true
sudo systemctl disable telnet.service 2>/dev/null || true# 把 Telnet 相关包彻底移除
sudo apt-get purge -y telnet telnetd
验证禁用效果与端口状态
禁用完成后，应该确保端口 23 不再监听，同时系统不再响应 Telnet 服务。可以再次使用端口探测和进程检查来确认。
# 验证端口 23 是否仍在监听
sudo ss -tlnp | grep :23 || echo "Telnet 端口已关闭"# 验证 telnet 客户端不可用（尝试简单连接会失败）
telnet localhost 23 2>&1 | head -n 1 || echo "Telnet 端口不可用"
4. 部署 SSH 服务的完整要点
安装与初步配置
在 Debian 上安装 OpenSSH 服务器是实现安全远程登录的核心步骤。安装完成后，应确保服务正常启动并在合适的端口监听。
启用 SSH 服务后，可以对默认配置进行基础优化，确保服务器在初始阶段具备较强的防护能力。
# 安装 OpenSSH 服务器并启动
sudo apt-get update
sudo apt-get install -y openssh-server
sudo systemctl enable --now ssh
加强 SSH 安全与密钥管理
推荐采用公钥认证、禁用密码登录、限制 root 用户直接登录等策略，以提升认证安全性。以下示例展示关键配置点及操作步骤。
# 使用文本编辑器配置 /etc/ssh/sshd_config
sudo bash -c 'cat > /etc/ssh/sshd_config' <<'EOF'
Port 22
PermitRootLogin prohibit-password
PasswordAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
ChallengeResponseAuthentication no
UseDNS no
PermitEmptyPasswords no
PermitUserEnvironment no
AllowUsers youruser
EOF# 使配置生效
sudo systemctl restart ssh
生成并部署公钥对是实现无密登录的关键步骤。客户端生成私钥和公钥，然后将公钥放到服务器的 ~/.ssh/authorized_keys 中，权限需要正确设置。
# 在客户端生成密钥（推荐 Ed25519，默认强度高）
ssh-keygen -t ed25519 -a 100# 将公钥复制到服务器
ssh-copy-id youruser@server# 服务器端权限校验
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
在服务器端的 sshd_config 中确保对 root、密码、以及其他风险配置进行控制，以防止暴力破解和横向渗透。
# 额外的安全性配置示例，增强对 SSH 的防护
# 仅允许特定用户通过 SSH 登录
sudo bash -c 'echo "AllowUsers youruser" >> /etc/ssh/sshd_config'# 重新加载 SSH 服务
sudo systemctl reload ssh
5. 防火墙与登录保护
端口控制与入侵防护
通过防火墙策略限制对 SSH 的访问并阻断不必要的连接，可以显著降低暴力破解的成功率。常见做法是默认拒绝全部输入，仅放行 22/TCP 端口（或自定义端口）。
同时，结合日志分析与入侵防护工具，可以实现对异常登录行为的自动响应。
# 使用 UFW 的基本示例（Debian 常用）
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable
失败尝试防护与日志审计
安装并配置 Fail2ban 等工具，可以对重复失败尝试进行自动封禁，减少暴力破解的成功概率；同时开启系统日志审计，便于事后分析。
# 安装 Fail2ban（SSH 默认规则通常已包含）
sudo apt-get install -y fail2ban
sudo systemctl enable --now fail2ban
6. 迁移后的验证与持续维护
连接测试与安全性验证
完成上述配置后，需对远程连接进行全面验证，确保 SSH 可以正常使用且 Telnet 已彻底移除。通过多种测试用例来确认系统状态与可访问性。
安全性验证包括远程登录测试、密钥登录测试、root 登录测试以及错误配置引发的拒绝访问情况的验证。
# SSH 连接测试（从客户端）
ssh -i ~/.ssh/id_ed25519 youruser@server# 连接详细输出，用于排错
ssh -vvv -i ~/.ssh/id_ed25519 youruser@server# 测试尝试以 root 登录（应被拒绝）
ssh -i ~/.ssh/id_ed25519 root@server
持续维护与问题排查
定期检查 SSH 日志、端口状态以及防火墙规则，确保在服务器配置变更或补丁更新后仍然符合安全策略。若出现异常连接，应立即排查证书、密钥权限、以及潜在的弱口令风险。
此外，保持系统软件包的更新、监控告警与备份策略，也是长期维持 Debian 服务器安全性的关键环节。
