学网络绕不开Telnet，尤其在华为设备上，telnet配置几乎是所有HCNA/HCIA考生最早上手的管理类实验。记得我刚接触eNSP那会儿，第一件事就是照着教程在两台路由器之间敲通Telnet，等屏幕上 跳成 的瞬间，才真正理解“远程管理”到底是个什么感觉。这篇是「HCNA实验系列」的第一篇，先拿最典型的Telnet场景开刀：用eNSP模拟两台华为AR路由器，一边当客户端，一边当被管理的服务端，走完IP规划、VTY配置、AAA认证、登录验证这一整条链路。适合刚考华为认证的考生、刚入职的网工新人，以及所有想在电脑上练数通命令但手边没有真机的朋友。操作不难，但里面有不少“为什么这么配”的细节，值得掰开揉碎讲清楚。
1. 为什么第一个实验敢选Telnet：它串起了设备管理的整条主线
1.1 Telnet解决的是“管理面”的问题
网络设备平时干的是转发数据的活，这叫转发面；但设备也需要被人登录、配置、查看状态，这层逻辑叫管理面。Telnet就是一个典型的管理面协议，它让你不坐在设备旁边，通过TCP连接就能进入设备的命令行。
很多新手容易忽略一件事：在现实项目里，绝大多数设备根本不在你眼前，可能在几公里外的弱电机房，也可能在另一个城市。你通过网络远程登录设备，敲命令、改配置、查日志，靠的就是Telnet这类管理协议。所以HCNA认证把Telnet放到很靠前的位置，不是为了让你背一条命令，而是让你建立“设备是可以被远程管理”的思维模型。
eNSP模拟器最大的价值也在这里：它把一台真机缩成一个图标，双击就能启动，随便折腾，配错了可以重启、可以清空配置、可以重新拖一台设备，完全不需要担心把生产网络搞挂。对于刚起步的人，这是试错成本几乎为零的训练场。
1.2 从认证体系看Telnet实验的性价比
HCNA时代过后，认证体系改叫HCIA，但老资料和新大纲在Telnet这个考点上几乎没有变化：VTY用户界面、认证方式（password和AAA）、用户权限、登录协议控制，这些都是高频考点。换句话说，你花半小时做通这个实验，等于同时把设备管理、认证、权限、连通性排查这四个知识点过了一遍，这要比直接去啃路由协议高效得多。
而且Telnet实验具备“即时反馈”的特性。你配置完，马上就能在另一台设备上验证成败。不像OSPF这种协议，配完了还得等邻居建立、查LSDB，反馈链路很长。对初学者来说，尽快看到正反馈能极大减少挫败感——这也是我建议把它排在第一篇的原因。
1.3 模拟器和真机的差异要提前知道
eNSP里的AR2220路由器、S5700交换机，命令和真机基本一致，但有几个差异你需要提前有心理预期：
- 接口编号上，AR路由器常见GigabitEthernet 0/0/0，真机可能有GE0/0/0，也可能有XGE接口，编号规律相同，但接口类型不同。
- 模拟器里接口默认就是UP的，而真机必须物理接线正常、两端协商成功，否则Physical状态是down。
- 模拟器重启非常快，真机重启经常要等几分钟，甚至还会因为配置错误起不来。
这些差异并不是坏事。模拟器帮你过滤掉了物理层的干扰，让你专注在网络层以上的逻辑配置。等你把逻辑搞透了，再上真机，只需要额外处理物理链路那一层即可。
2. 实验准备：eNSP环境、设备选型与命令行基础
2.1 拖设备之前，先把eNSP环境理顺
eNSP全称Enterprise Network Simulation Platform，是华为官方的企业网络仿真平台。安装过程不复杂，但有几个经验值得注意：
- 建议安装最新稳定版本，而不是为了兼容旧教程去装很老的版本。老版本在部分操作系统上启动AR设备时会莫名其妙失败。
- eNSP会自动调用VirtualBox虚拟机来运行AR路由器镜像，如果你电脑上原来装了其他虚拟机软件，可能存在端口或服务冲突。遇到AR设备启动不了、一直停在“启动中”的情况，优先检查这两点：第一，系统虚拟化有没有在BIOS里开启；第二，防火墙是否拦截了VirtualBox的虚拟网卡通信。
- 打开eNSP之后，建工程的第一步是给自己的实验命名并选目录。养成好习惯，把每个实验单独存成一个工程文件，后缀是.enspx。后面再做VLAN、静态路由实验时，你会庆幸自己没把所有拓扑都堆在一个文件里。
2.2 两台AR2220就够，不必画蛇添足
做Telnet实验，网络拓扑越简单越好。我见过很多教程上来就拖两台路由器、一台交换机、两台PC，拓扑画得很热闹，但多出来的设备对理解Telnet没有帮助，反而增加排错负担。
这个实验只需要两台AR2220路由器。一台作为Telnet服务端，假设叫R2；另一台作为客户端，假设叫R1。你后续学SSH、VLAN、DHCP，拓扑会慢慢复杂起来，但管理协议的实验在直连链路上做是最干净的。选择路由器而不是交换机，是因为路由器天然具备完整的AAA、VTY、用户管理功能，和考证大纲贴合得最紧。
用鼠标把两台AR2220拖到画布上，选择Copper连接线，把R1的GE 0/0/0口和R2的GE 0/0/0口连起来。连线成功后，先启动两台设备，等设备图标下方不再显示“启动中”或等待指示灯稳定，再开始配置。刚启动就敲命令不是不行，但偶发会出现命令输入延迟或回显异常，别给自己没事找事。
2.3 华为命令行的三层视图先背熟
很多新手配置Telnet觉得难，不是难在命令本身，而是不清楚每条命令在哪个视图下敲。华为命令行最常见的三种视图是：
- 用户视图：提示符是尖括号，例如 。只能查看基础状态，不能改配置，相当于只读模式。
- 系统视图：提示符是方括号，例如[R1]。输入system-view可以进入，是配置的入口，很多全局命令都在这里执行。
- 接口/子视图：例如[R1-GigabitEthernet0/0/0]，在系统视图下输入interface GigabitEthernet 0/0/0进入，专门配置某个接口。
此外还有AAA视图、VTY视图等，属于子视图。后面配置用户、配置虚拟终端线路时，会看到提示符逐步变化。你只要记住：命令的作用范围决定了它在哪个视图下输。敲错了提示符会马上变，不会“不告诉你”。
3. 地址规划与接口配置：这一步决定了后面能不能通
3.1 为什么选192.168.1.0/24来做互联网段
实验里有两台路由器，R1和R2各需要一个接口IP。这里我直接给一个最标准的规划：R1的GE0/0/0配置192.168.1.1/24，R2的GE0/0/0配置192.168.1.2/24。
选这个网段的原因很简单：它是私有地址，不涉及公网冲突；/24的掩码足够大，两台设备一定在同一个广播域内；后续如果你加PC、加交换机，这个网段也能自然扩展。不要为了显得高级去用/30这种掩码，虽然更节省地址，但对初学者来说理解成本高，实验里完全没必要。
记住一个原则：Telnet要能通，底层条件是客户端和服务端的IP网络能互相到达。所以地址规划是整个实验的地基，地址配错，后面所有步骤都是白费。
3.2 接口配置的完整操作过程
先配置服务端R2：
<Huawei>system-view [Huawei]sysname R2 [R2]interface GigabitEthernet 0/0/0 [R2-GigabitEthernet0/0/0]ip address 192.168.1.2 24 [R2-GigabitEthernet0/0/0]undo shutdown [R2-GigabitEthernet0/0/0]quit这里有几个细节需要解释：
- sysname用于修改设备名称。把默认的Huawei改成R2，后面登录验证时，提示符会明确显示 ，你能一眼看出自己已经登录到远程设备了。
- ip address后面跟的是接口IP和掩码，这里的24等价于255.255.255.0。华为设备支持这种简写，习惯用完整掩码的人也可以写全，效果一样。
- undo shutdown比较关键。在模拟器里，接口通常默认开启，但养成敲这个命令的习惯是值得的——真机上很多接口物理状态是UP，但协议状态因为shutdown而down，导致网络不通，你排查一遍才发现是管理性关闭。所以配置接口时主动执行undo shutdown，等于明确告诉设备“这个口给我放开”。
再配置R1，流程完全相同，只是IP变成了192.168.1.1，设备名变成了R1。别在R1上配置地址时顺手把接口编号写错了，两台设备的接口编号是一致的，都是GE0/0/0。
配置完成后，在R1上查看接口状态：
<R1>display ip interface brief输出里应该有一行，接口为GE0/0/0，IP地址为192.168.1.1，Physical和Protocol两项都是UP。Physical对应物理层状态，Protocol对应链路层/协议状态。两项都UP，说明这个接口已经“可用”。只要看到任何一项是down或administratively down，就不要急着做Telnet，先把接口问题解决。常见的接口down原因就三个：网线没连、接口被shutdown、两端网段不在同一个广播域。
接口正常后，顺手做一步连通性验证：
<R1>ping 192.168.1.2只要看到Reply from 192.168.1.2的回包，说明IP层已经通了。这一步是Telnet的前置条件，也是你排查问题的分水岭：如果ping不通，Telnet一定通不了，且问题大概率在接口配置或物理链路上；如果ping得通，Telnet还失败，问题就缩小到VTY配置、认证配置或者登录协议限制上。
4. 服务端R2的Telnet配置：password和AAA你都得会
4.1 用password认证方式快速打通
先介绍最简单的密码认证方式。在R2上执行：
[R2]user-interface vty 0 4 [R2-ui-vty0-4]set authentication password cipher 123456 [R2-ui-vty0-4]protocol inbound telnet- user-interface vty 0 4表示进入虚拟终端线路视图，编号0到4一共5个VTY通道，意思是允许最多5个远程用户同时登录。为什么是5个不设置更多？真机上同时远程管理同一台设备的场景本来就是少数，5个已足够日常运维使用。
- 第二行设置认证密码，cipher表示密码以密文形式保存在配置里。这是华为推荐的做法，虽然登录时报文里仍然会把密码内容暴露给抓包者，但至少不会让人直接在配置文本里肉眼看到明文。
- 第三行指定该VTY通道允许接入的协议类型为Telnet。如果不写这句，默认行为在不同版本里有差异，最好显式声明。
配置完成后，从R1上就可以发起登录了：
<R1>telnet 192.168.1.2回车后系统会提示输入密码，输入123456，然后你会看到提示符变成 。如果看到这种情况，说明Telnet已经配置成功，你正站在R1上通过远程会话操控R2。此时在 下敲display version、display current-configuration都能正常执行。
password方式的优点是配置命令少、相对直接。缺点也很明显：所有登录者共用同一个密码，谁进了设备都拥有管理员权限，没法区分谁是谁，出了安全问题也很难追溯到责任人。所以实际项目中这种方式的生存空间很小，更标准的做法是AAA。
4.2 用AAA认证方式绑定用户名和权限
AAA是HCNA考试里绕不开的考点。AAA是Authentication、Authorization、Accounting三个词的缩写，分别对应认证、授权、计费。在Telnet实验里，最直观的体现就是：登录不仅要密码，还要用户名；不同用户可以被赋予不同的权限等级。
在R2上，先创建本地用户并配置密码：
[R2]aaa [R2-aaa]local-user admin password cipher admin123 [R2-aaa]local-user admin service-type telnet [R2-aaa]local-user admin privilege level 15 [R2-aaa]quit这三条命令各自解决一个问题：
- 第一条创建名为admin的本地用户，密码是admin123。
- 第二条声明这个用户允许使用Telnet服务。
- 第三条把这个用户的权限级别设置为15。华为设备权限等级通常分0、1、3、15等档次，级别低的用户登录后很多系统级命令没有权限执行。15是最高级，可以在设备上完完整整地做任何配置。实验中如果你不给用户级别，登录后可能在用户视图下用几条查看命令还行，一进系统视图想改配置就提示权限不足。
创建好用户后，再进入VTY视图，把认证模式从默认的password改为aaa：
[R2]user-interface vty 0 4 [R2-ui-vty0-4]authentication-mode aaa [R2-ui-vty0-4]protocol inbound telnet注意，一旦认证模式改成aaa，VTY本身就不再配置密码了，登录时验证的是AAA视图里创建的本地用户。这个逻辑要理清楚：VTY管的是“通道怎么处理登录请求”，AAA管的是“谁来登录、用什么身份登录”。
此时再回到R1，输入telnet 192.168.1.2，系统会先要求输入用户名，再要求输入密码。全部正确后，提示符跳成 。相比password方式，AAA方式登录时能明确知道当前是什么用户，且可以根据用户名限制不同人的操作权限，这正是真实网络运维里最基本的安全管控思路。
4.3 两种认证方式的取舍与考试注意点
如果只是为了考HCNA，两种方式都需要亲手配一遍。考试实验题里，有的明确要求用password认证，有的要求用AAA。尤其是AAA的完整流程，很多考生知道命令但很容易漏掉privilege level这一条，结果用户能登录但什么都干不了，白折腾。
如果放到生产环境，我更偏向AAA。原因很简单：可审计、可按用户授权、可以结合后续的ACL限制登录源地址。Telnet本身因为是明文传输，原则上不鼓励在生产环境开放，但如果你只能用Telnet，那至少用AAA加高权限管控，别让所有人都拿一个共享密码进去随便敲。
补充一个细节：AAA本地用户配置里有个service-type，如果你的用户同时需要SSH登录，可以把它改成service-type telnet ssh或者单独为SSH再创建一个用户。这个实验先不必展开，后续讲SSH时可以自然衔接。
5. 客户端登录验证与登录成功后的管理操作
5.1 登录后从提示符判断自己“进到哪台设备”
当你从R1登录R2后，最直观的反馈就是提示符从 变成了 。这个变化不是一个装饰，它代表了你当前的命令生效位置。很多人第一次做实验时容易犯迷糊：明明我在R1上输的telnet命令，为什么现在却不在R1的命令行里了？
因为telnet命令建立的是一个新的会话通道，就像你坐在R1的“屏幕前”，但控制权已经切换到了远端设备R2。此时你在 下输入的每条命令，实际执行位置都是R2。想返回R1，输入quit，退出远程会话后提示符才会回到 。
建议实验时养成习惯：每次敲命令前，先瞄一眼提示符。看错设备敲错配置，是新手网工最常犯的错误之一，模拟器里无伤大雅，但真机上一个误操作可能把整个业务打崩。
5.2 在远程设备上验证到底能做什么
登录R2后，我习惯做这几件事，确保远程会话的功能是完整的：
[R2]display current-configuration这一条会把R2当前的运行配置全部打印出来。你需要重点看的是配置末尾的aaa部分和user-interface vty部分，确认本地用户和认证模式确实已经生效。这比“能登录”更有说服力，因为有时候你配置的AAA和VTY存在隐藏冲突，虽然登录成功了，但权限和预期的并不一致。
接着可以执行：
[R2]display users这条命令会显示当前在线用户的情况，包括用户的IP地址、登录方式、用户等级等信息。如果显示包含192.168.1.1的Telnet登录会话，说明R2确实感知到了远端R1用户的接入。
做完这些之后，如果想顺手保存一下R2的配置：
[R2]save华为设备默认会询问是否保存配置文件，输入Y并回车即可。模拟器里不保存，关了重开配置就会丢失。很多人图省事不保存，结果下次打开实验发现配置全没了，然后怀疑人生——这是模拟器里最经典的“灵异事件”之一。
退出远程会话用quit就行，不要直接右上角关闭R2的窗口。quit是把登录连接正常断开，远程设备不会受到影响；直接关窗口只是把模拟器的显示窗口关掉，设备进程可能还在后台运行，反而容易造成端口占用之类的怪问题。
5.3 断开会话后如何确认连接状态
退出R2回到R1后，可以再验证一次显示状态：
<R1>display users这回你看到的是R1本机的用户会话信息，应该只有你通过Console登录的会话。如果再次telnet登录，然后立即在R2上用display users，又能看到远程用户的记录。反复验证这个“有会话/无会话”的状态差异，能帮你更直观地理解Telnet是一个基于长连接的管理会话。
6. 这个实验里我反复踩过的几个细节坑
6.1 认证模式改了，旧密码还残留怎么办
有一种场景很常见：先用password方式配通了Telnet，后来想改用AAA，于是只改了authentication-mode aaa，但忘了检查VTY视图里是否还残留着原来的密码配置。理论上认证模式变了之后，VTY密码不再生效，但配置里多出来的那一行会让你在排查问题时产生困惑。我的建议是：改认证模式时直接确认一遍VTY视图下的完整配置，不需要的配置立刻undo掉。
命令是：
[R2-ui-vty0-4]undo set authentication password6.2 能ping通但Telnet失败，先查protocol inbound
如果你配置完成后，ping通但telnet失败，优先怀疑两件事：一是协议类型没有放行，二是认证配置不匹配。我在模拟器里遇到过的典型报错是登录时直接提示无法连接或认证失败，后来发现是VTY视图里漏配了protocol inbound telnet。默认情况下不同模拟器版本的行为有差异，有的默认只允许Telnet，有的默认同时允许Telnet和SSH，显式配置最稳妥。
6.3 密码输错次数多了会被临时锁定
华为设备默认有登录失败的锁定机制，连续输错几次密码，VTY会话会被临时锁住，过一段时间才会自动解锁。模拟器实验里密码简单，输错概率不大，但如果你正好卡在这个机制上，会误以为Telnet配置出了问题。建议实验时先记录好用户名和密码，别反复试。真机上如果锁住了运维人员，那是会出生产事故的，所以平时就要养成使用密码管理工具的习惯，不要靠脑子记。
6.4 设备命名后提示符没变，先别慌
还有一次我把R2的sysname改成R2之后，登录时提示符却仍然显示旧的默认名，排查了半天。后来发现是旧配置文件没清理干净，新会话继承了未保存的旧状态。解决办法很简单：在R2上执行save保存，然后重启模拟器里的R2设备。多数情况下配置生效异常，重启就能解决。
6.5 避免在模拟器里用极度简单的密码
实验室里用admin123这种密码我理解，但我不建议你所有实验都用同一个123456。这个习惯看起来很不起眼，但会让你在潜意识里降低对密码管理的敏感度。将来说不定你会管理真机，如果仍然习惯性用弱口令，后果可能很严重。做实验时用稍微复杂一点的测试密码，也算是一种安全习惯的提前养成。
7. 把这个实验往后延伸的思路
如果你已经把上面的步骤完整跑通了，你会发现Telnet实验的本质并不复杂：底层网络通，VTY开放，认证通过，然后你就拿到了一台远端设备的命令行。顺着这条线，后面值得尝试的扩展方案还有不少：
- 用ACL限制Telnet登录的源地址，只允许特定网段管理设备。
- 把认证模式改为AAA并扩展为多用户，不同用户给不同权限等级，体验一下授权粒度。
- 在VTY上把protocol inbound改成all，然后尝试用SSH协议登录，对比Telnet和SSH在配置上的差异。
- 在一台交换机上配置Telnet，用路由器的命令行远程登录交换机，验证跨设备类型管理的逻辑是否一致。
每一步扩展都不难，但都能加深你对设备管理面的理解。到后面学路由、学交换的时候，你会发现远程管理是绕不开的基本功，每个实验都要用得上。
实验做到这里，配置命令本身不算多，真正有价值的是理解每条命令的作用位置和生效逻辑。我自己最开始做这个实验时，只是照着手册把命令敲完，能登录就觉得自己学会了；直到后来把认证模式改错、把权限等级漏配，再回头重新理了一遍VTY和AAA的关系，才算真正搞透。建议你也别急着往下学，先把这台R2的两种认证方式分别配一遍、登录一遍，感受一下提示符、权限、显示信息的不同。这个印象一旦建立，后面学SSH、学远程运维会顺很多。
