设备telnet的配置问题

网络不通，检查下路由情况

现象总结
设备本地<cma‑core>执行telnet 对端IP，提示Connected to x.x.x.x，但是不弹出登录提示符；
同网段设备可以正常 telnet 登录；跨网段无法 telnet 访问该设备；IP 可达（ping 通），TCP 端口可达。
关键点：ping 通、端口通 ≠ telnet 业务正常；同网段正常，跨网段异常，典型是回程路由、ACL 过滤、设备本机访问控制、VRF、防火墙会话 / 分片问题。
核心故障点（H3C V7 设备高频）
1、设备本身缺少回程路由（最高概率）
跨网段访问设备：访问报文能到达设备，但设备找不到去往客户端网段的回程路由。
同网段：直连，不需要静态 / 默认路由，telnet 正常；
跨网段：客户端来自别的网段，设备没有回程路由，TCP 握手可以完成（看到 Connected），但设备返回的 telnet 报文发不回客户端，因此卡在 Connected，不出现 Login 提示符。
排查命令：
bash
display ip routing‑table
确认：是否存在默认路由或者针对客户端网段的回程路由。
很多网管只配置业务静态路由，没有配置设备本机管理流量的回程路由。
2、设备本机 ACL 过滤（包过滤，inbound 方向过滤）
V7 packet‑filter、acl应用在 vlan‑interface 或者全局，允许 TCP 23 端口建立连接，但是拦截 telnet 交互报文。
bash
display packet‑filter
display acl resource
display acl all
注意：ACL 允许 TCP SYN 通过，会显示 Connected，但是拦截后续报文，会话半开卡住，不弹出登录界面。
3、VRF 绑定问题
管理 IP 绑定在某个 VRF 实例，跨网段过来的流量在公网 VRF，无法访问 VRF 内 IP。
bash
display ip interface brief
看管理接口是否绑定ip vpn‑instance。
同网段在同一个 VRF，访问正常；跨网段从全局表过来访问 VRF 内地址，业务异常。
4、中间网络设备 ACL、URPF、TCP MSS / 分片问题
中间防火墙 / 交换机：
URPF 严格校验：源路由不匹配丢弃回程报文；
TCP‑MSS 截断、ICMP 分片报文被拦截；TCP 握手成功，应用层交互卡住；
现象：TCP 三次握手完成，显示 Connected，应用层不推送登录界面。
5、设备登录用户数量已满
bash
display users
vty 会话占满，新会话建立 TCP 连接成功，但是不给 shell 交互。同网段已有空闲 vty 则正常。
查看 vty 配置：
bash
display current‑configuration | include line vty
确认最大并发会话数量。
现场定位步骤（按顺序）
ping 客户端网段，确认设备可以回包。
bash
ping 客户端IP
设备本身 ping 不通客户端，100% 是回程路由缺失。
在设备上开启 debug telnet（谨慎生产网），或者抓包，看设备是否发出 telnet 服务端应答报文。
检查 line vty，确认允许所有源 IP 访问，没有配置acl 2000 inbound限制 vty。
plaintext
line vty 0 15
undo acl
排查接口下packet‑filter inbound是否拦截报文。
确认管理 IP 是否部署在 VPN 实例。
典型场景复现说明
为什么本地 telnet 能看到Connected to x.x.x.x：
TCP 三次握手完成就打印 Connected，握手成功不等于应用层可以交互；如果服务器侧回包路由不通，就卡在这个界面，不输出 Login。
同网段没有路由问题，所以完全正常。
快速修复优先做
给设备配置回程默认路由或者客户端网段静态路由；
vty 下取消 ACL 绑定；
确认管理 IP 不在 VRF 中；
中间设备检查 URPF、inbound 方向 ACL。