Telnet var i mange år standardmåden at fjernstyre routere og switche på, og du vil stadig møde det i gamle lærebøger og i Packet Tracer-opgaver. Men i et rigtigt netværk skal du ikke bruge Telnet. I denne artikel forklarer jeg hvorfor, viser et kort eksempel til dit lab, og hvordan du slår Telnet helt fra og bruger SSH i stedet.

Indholdet matcher CCNA 200-301 v1.1 og den kommende v2.0 (første eksamensdag 3. februar 2027), hvor sikker administration med lokale brugere, AAA og SSH/SCP er en del af emnet Network Services and Security.

Hvad er Telnet?

Telnet er en protokol til fjernadgang til en kommandolinje. Den kører over TCP port 23. Når du har forbindelse, ser det ud præcis som når du sidder med et console kabel: du får en prompt og kan skrive IOS-kommandoer.

På en Cisco enhed foregår fjernadgang via de virtuelle terminal-linjer (VTY). De fleste enheder har 5 linjer (0–4), og mange har 16 (0–15). Det betyder at op til 16 personer kan være logget på samtidig.

Det store problem: alt sendes i klartekst

Telnet krypterer intet. Brugernavn, kodeord og hver eneste kommando sendes i klartekst over netværket. Hvis nogen kører Wireshark på samme netværk, eller sidder et sted på vejen mellem dig og routeren, kan de læse dit kodeord direkte i pakkerne (vælg “Follow TCP Stream” og det står der).

Sikkerhedsadvarsel: Brug aldrig Telnet til produktionsudstyr eller over internettet. Et opsnappet enable-kodeord giver fuld kontrol over enheden. Telnet må kun bruges i et isoleret lab (Packet Tracer, GNS3/CML eller dit eget udstyr uden forbindelse til andre netværk).

Telnet vs SSH – sammenligning

Telnet SSH
Port TCP 23 TCP 22
Kryptering Ingen Ja, hele sessionen
Godkendelse Kodeord i klartekst Kodeord eller nøgler, krypteret
Integritet Ingen Ja (HMAC)
Filoverførsel Nej (TFTP er heller ikke krypteret) SCP og SFTP
Anbefalet Kun i isoleret lab Altid

Kort sagt: SSH gør det samme som Telnet, bare sikkert. Der er ingen god grund til at vælge Telnet på moderne udstyr.

Kort lab-eksempel: Telnet på en Cisco router

Du skal kende Telnet-konfigurationen, fordi den dukker op i opgaver og fordi du skal kunne genkende den, når du rydder op i en gammel konfiguration. Her er det minimale eksempel. Routeren skal have en IP-adresse på det interface, du forbinder til: 

R1# configure terminal
R1(config)# interface GigabitEthernet0/0
R1(config-if)# ip address 192.168.1.1 255.255.255.0
R1(config-if)# no shutdown
R1(config-if)# exit
R1(config)# enable secret LabKodeord1
R1(config)# line vty 0 4
R1(config-line)# password LabKodeord2
R1(config-line)# login
R1(config-line)# transport input telnet

Bemærk: Uden et enable-kodeord (enable secret) kan du godt logge ind via Telnet, men du kan ikke komme i privileged EXEC mode. Uden login og password på VTY-linjerne afviser routeren forbindelsen med “Password required, but none set”.

Fra en PC i samme netværk: 

C:\> telnet 192.168.1.1
User Access Verification
Password:
R1> enable
Password:
R1#

Prøv at fange forbindelsen i Packet Tracer (simulation mode) eller Wireshark. Du vil se kodeordene i klartekst. Det er den bedste måde at forstå, hvorfor Telnet ikke duer.

Sådan slår du Telnet fra

Den nemmeste måde er at tillade kun SSH på VTY-linjerne. Husk alle linjerne: 

R1(config)# line vty 0 15
R1(config-line)# transport input ssh

Så snart transport input ssh er sat, afvises Telnet. Hvis du skriver transport input none, kan du ikke længere fjernstyre enheden overhovedet, kun via console.

Du kan kontrollere hvad linjerne tillader med: 

R1# show running-config | section line vty
line vty 0 4
 login local
 transport input ssh
line vty 5 15
 login local
 transport input ssh

Hvis du ser transport input all eller transport input telnet ssh, er Telnet stadig åbent.

Gå videre til SSH

Den fulde SSH-opsætning med RSA 2048-bit-nøgle, ip ssh version 2, lokal bruger, login local, exec-timeout og verificering med show ip ssh finder du i guiden Opsætning af SSH. Her er en kort forsmag: 

R1(config)# hostname R1
R1(config)# ip domain-name ccna.dk
R1(config)# username admin secret MitStaerkeKodeord!
R1(config)# crypto key generate rsa modulus 2048
R1(config)# ip ssh version 2
R1(config)# line vty 0 15
R1(config-line)# login local
R1(config-line)# transport input ssh
R1(config-line)# exec-timeout 10 0

Hvornår er Telnet stadig nyttigt?

Telnet-klienten kan bruges som et simpelt fejlsøgningsværktøj til at teste om en TCP-port er åben, fx telnet mailserver 25. Det er ikke fjernadministration, og der sendes ingen kodeord. Til selve administrationen af routere og switche er svaret altid SSH.

Hvad med Packet Tracer-opgaver?

Mange øvelser i Packet Tracer og i ældre kursusmateriale beder dig om at sætte Telnet op, fordi det er hurtigt og ikke kræver nøgler eller domænenavn. Det er helt fint at øve sig med, så længe du forstår forskellen. Gør det til en vane at afslutte hver øvelse med at skifte til SSH: opret en lokal bruger, generer en RSA-nøgle og sæt transport input ssh. Så får du trænet den konfiguration, du rent faktisk skal bruge i et rigtigt netværk og til eksamen.

Opsummering

  • Telnet bruger TCP port 23 og sender alt i klartekst, også kodeord.
  • SSH bruger TCP port 22 og krypterer hele sessionen.
  • Telnet må kun bruges i et isoleret lab.
  • Slå Telnet fra med transport input ssh på alle VTY-linjer (0–15).
  • Se den fulde guide: Opsætning af SSH.

Typiske eksamensspørgsmål

1. Hvorfor anbefales SSH frem for Telnet til fjernadministration?
Svar: SSH krypterer sessionen, inklusive brugernavn og kodeord. Telnet sender alt i klartekst.

2. Hvilke porte bruger Telnet og SSH?
Svar: Telnet bruger TCP 23, SSH bruger TCP 22.

3. En administrator kan oprette Telnet-forbindelse, men får beskeden “Password required, but none set”. Hvad mangler?
Svar: Et kodeord og login (eller login local med en lokal bruger) på VTY-linjerne.

4. Hvilken kommando tillader kun SSH og blokerer Telnet på VTY-linjerne?
Svar: transport input ssh under line vty.