解决Telnet连接报错“Connection refused”的详细指南

Telnet 是一种经典的网络诊断工具，常用于测试目标主机的端口是否开放、服务是否正常监听。但在使用过程中，“Connection refused”（连接拒绝） 是一个常见的报错，它通常意味着目标端口未接受连接请求。本文将从问题现象、潜在原因、排查步骤、解决方案、最佳实践等方面，详细讲解如何定位并解决这一问题，帮助读者快速恢复服务的可访问性。

目录#

问题现象#

当使用 telnet 目标IP 目标端口 命令测试连接时，终端会返回类似以下的错误：

$ telnet 192.168.1.100 80
Trying 192.168.1.100...
telnet: connect to address 192.168.1.100: Connection refused
telnet: Unable to connect to remote host

这表明目标主机的对应端口未接受连接（可能是服务未启动、端口被拦截、配置错误等原因）。

可能原因分析#

连接拒绝的核心是“目标端口无有效监听”，常见原因包括：

1. 目标服务未启动#

  • 目标主机上的服务（如Web服务、数据库服务）未运行，导致端口无程序监听。
  • 示例：要测试80端口，但Nginx/Apache服务未启动。

2. 端口被防火墙拦截#

  • 本地防火墙：发起Telnet的机器的防火墙阻止了出站连接（罕见，但需排查）。
  • 远程防火墙：目标主机的防火墙（如Linux的iptables、Windows防火墙）拒绝了入站连接。
  • 示例：目标主机的iptables规则禁止了80端口的TCP连接。

3. 服务端口配置错误#

  • 服务实际监听的端口与你测试的端口不一致（如配置文件中Web服务改为8080，但你测试80端口）。

4. 服务绑定地址限制#

  • 服务仅绑定了本地回环地址（127.0.0.1），外部IP（如192.168.1.100）的连接会被拒绝。
  • 示例：Tomcat配置为127.0.0.1:8080，外部无法访问。

5. 网络层不可达（非直接拒绝，但易混淆）#

  • 目标主机与发起端网络不通（如路由故障、IP错误），但Telnet会因超时而报错，需与“Connection refused”区分（拒绝是目标端明确回应，不可达是无回应）。

详细排查步骤#

按以下步骤逐步定位问题：

步骤1：确认目标服务是否运行并监听端口#

在目标主机执行以下命令（需有登录权限）：

Linux系统#

使用 netstat 或 ss 查看端口监听状态：

# 查看所有TCP监听端口（含端口、进程、绑定地址）
netstat -tuln | grep 目标端口  # 如 grep 80
# 或更简洁的 ss 命令
ss -tuln | grep 目标端口
# 查看进程与端口的关联（需root）
lsof -i :目标端口  # 如 lsof -i :80
  • 若输出为空，说明服务未启动或未监听该端口。
  • 若输出有内容（如 LISTEN 0 128 *:80），说明服务已监听（*:80 表示监听所有IP，127.0.0.1:80 表示仅本地）。

Windows系统#

使用 netstat 或任务管理器：

netstat -ano | findstr "目标端口"  # 如 findstr "80"
  • 若结果为空，检查服务是否启动（如IIS、MySQL服务）。

步骤2：检查本地与远程防火墙规则#

本地防火墙（发起Telnet的机器）#

  • Linux：检查出站规则（罕见，但可执行 iptables -L OUTPUT -n 查看）。
  • Windows：打开「控制面板→系统和安全→Windows Defender防火墙→高级设置→出站规则」，确认是否阻止了Telnet的出站连接。

远程防火墙（目标主机）#

  • Linux：执行 iptables -L INPUT -n --line-numbers 查看入站规则，确认是否有拒绝目标端口的规则： 
    iptables -L INPUT -n | grep 目标端口  # 如 grep 80
  • Windows：打开「高级安全Windows防火墙→入站规则」，检查是否有阻止目标端口的规则。
  • 云平台（如阿里云、AWS）：检查安全组规则，确认是否允许目标端口的入站流量（如TCP 80）。

步骤3：验证服务端口配置#

查看服务的配置文件，确认监听端口：

  • Nginx：检查 /etc/nginx/nginx.conf 或站点配置文件，搜索 listen 指令。
  • Apache：检查 /etc/httpd/conf/httpd.conf，搜索 Listen 指令。
  • Tomcat：检查 conf/server.xml，搜索 <Connector port= 配置。
  • 若配置端口与测试端口不一致，需修正并重启服务。

步骤4：检查服务绑定的IP地址#

结合步骤1的 netstat/ss 输出，确认服务的绑定地址：

  • 若输出为 127.0.0.1:80，说明服务仅监听本地，外部无法访问。
  • 若输出为 0.0.0.0:80 或 目标主机IP:80，说明服务允许外部连接。

步骤5：网络连通性测试#

在发起Telnet的机器执行：

# 测试网络是否可达（非ICMP禁用的情况下）
ping 目标IP
# 测试路由路径（Linux）
traceroute 目标IP
# 测试路由路径（Windows）
tracert 目标IP
  • 若 ping 不通，说明网络层存在问题（如IP错误、路由故障），需先解决网络连通性。

步骤6：验证本地Telnet客户端是否正常#

  • Windows：需先开启Telnet客户端（「控制面板→程序→启用或关闭Windows功能→Telnet客户端」）。
  • Linux：需安装Telnet客户端（如 yum install telnet 或 apt install telnet）。

针对性解决方案#

根据排查结果，采取对应措施：

方案1：启动目标服务#

若服务未启动，启动服务并设置开机自启（以Linux的Nginx为例）：

# 启动服务
systemctl start nginx
# 设置开机自启
systemctl enable nginx
# 验证监听
netstat -tuln | grep 80

方案2：调整防火墙规则#

Linux（开放目标端口的入站流量）#

# 临时开放TCP 80端口（重启后失效）
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# 永久保存（需安装iptables-persistent）
apt install iptables-persistent  # Debian/Ubuntu
yum install iptables-services    # CentOS/RHEL
service iptables save            # 保存规则

Windows（开放目标端口的入站流量）#

  1. 打开「高级安全Windows防火墙→入站规则→新建规则」。
  2. 选择「端口」→「TCP」→「特定本地端口」，输入目标端口（如80）。
  3. 选择「允许连接」→ 应用到「域/专用/公用」网络 → 命名规则（如“允许TCP 80入站”）。

云平台安全组#

以阿里云ECS为例：

  1. 进入「实例→安全组→配置规则」。
  2. 添加入站规则：「协议类型TCP，端口范围80/80，授权对象0.0.0.0/0（或指定IP）」。

方案3：修正服务端口配置#

修改服务配置文件后，重启服务：

  • Nginx：修改 listen 端口后，执行 nginx -s reload。
  • Tomcat：修改 server.xml 后，重启Tomcat服务。

方案4：调整服务绑定地址#

若服务仅绑定127.0.0.1，修改配置为监听所有IP（0.0.0.0）或指定外部IP：

  • Nginx：在 server 块中设置 listen 0.0.0.0:80;。
  • Tomcat：在 server.xml 中设置 <Connector port="8080" address="0.0.0.0" ...>。
  • 重启服务后，再次用 netstat 确认绑定地址。

最佳实践与替代工具#

1. 用更安全的工具替代Telnet#

Telnet 传输明文数据（含用户名密码），生产环境建议用以下工具：

  • nc（Netcat）：测试端口连通性（需安装）： 
    nc -zv 目标IP 目标端口  # 如 nc -zv 192.168.1.100 80
  • nmap：扫描端口状态（需安装）： 
    nmap -p 目标端口 目标IP  # 如 nmap -p 80 192.168.1.100
  • PowerShell（Windows）：用 Test-NetConnection 测试： 
    Test-NetConnection 192.168.1.100 -Port 80

2. 定期监控服务状态#

  • 使用Prometheus+node_exporter或Zabbix监控端口监听状态，及时发现服务异常。
  • 编写脚本定期检查端口： 
    # 检查80端口是否开放，否则发邮件
if ! nc -zv 192.168.1.100 80 &>/dev/null; then
    echo "端口80异常" | mail -s "告警" [email protected]
fi

3. 最小化端口暴露#

  • 服务优先绑定内部IP或127.0.0.1，外部访问通过反向代理（如Nginx）转发。
  • 防火墙/安全组仅开放必要端口，并限制来源IP（如仅允许公司IP访问数据库端口）。

实战示例#

场景1：Web服务端口80拒绝连接（服务未启动）#

  1. 现象：telnet 192.168.1.100 80 报错“Connection refused”。
  2. 排查：登录目标主机，执行 netstat -tuln | grep 80 无输出；执行 systemctl status httpd 显示服务未运行。
  3. 解决：启动服务 systemctl start httpd，再次 telnet 成功连接。

场景2：Linux防火墙拦截端口（iptables规则限制）#

  1. 现象：服务已启动（netstat 显示80端口监听），但Telnet仍拒绝。
  2. 排查：执行 iptables -L INPUT -n | grep 80，发现有 REJECT 规则。
  3. 解决：添加允许规则 iptables -A INPUT -p tcp --dport 80 -j ACCEPT，保存规则后Telnet成功。

场景3：服务绑定本地回环地址（127.0.0.1）#

  1. 现象：netstat 显示 127.0.0.1:8080 监听，外部Telnet拒绝。
  2. 排查：查看Tomcat的 server.xml，发现 <Connector address="127.0.0.1" ...>。
  3. 解决：修改为 <Connector address="0.0.0.0" ...>，重启Tomcat后外部可访问。

总结#

解决“Telnet Connection refused”的核心是定位“端口无有效监听”的原因：从服务状态、防火墙、端口配置、绑定地址等维度逐步排查，结合工具（如netstat、iptables、nc）快速定位问题。同时，建议用更安全的工具（如nc、nmap）替代Telnet，并通过监控和最小化端口暴露提升服务安全性。

参考资料#

2026-03