通过GPO结合PowerShell启动脚本（调用DISM启用TelnetClient和LegacyComponents）可批量启用Telnet与FTP客户端，需管理员权限、避免重启、配合防火墙及安全策略限制使用。
在windows域环境中，通过组策略（gpo）统一启用telnet客户端和ftp客户端是常见运维需求，尤其在需要批量部署调试工具或遗留系统集成时。两者默认均被禁用，需手动开启对应windows功能，而gpo可实现集中、静默、可审计的配置。
确认目标系统支持并启用对应Windows功能
Telnet客户端与FTP客户端属于“基于Windows功能”的可选组件，不随系统默认安装。GPO本身不能直接安装这些功能，但可通过“启动脚本”或“计划任务”配合DISM命令启用；更推荐的方式是先在模板机上启用后捕获镜像，或使用GPO的“首选项→控制面板设置→服务”间接触发（不推荐），实际主流做法仍是结合PowerShell启动脚本：
- 在GPO中配置“计算机配置 → 策略 → Windows设置 → 脚本（启动/关机）→ 启动”，添加PowerShell脚本
- 脚本内容示例：
# 启用Telnet客户端
Dism /online /Enable-Feature /FeatureName:TelnetClient /NoRestart
# 启用FTP客户端（Windows 10/11中FTP命令行工具已内置，无需额外功能，但部分旧版Server需启用LegacyComponents）
Dism /online /Enable-Feature /FeatureName:LegacyComponents /NoRestart - 注意：需确保执行账户有本地管理员权限；/NoRestart参数避免意外重启；建议搭配IF判断避免重复执行
通过GPO首选项部署注册表项（辅助验证与兼容性保障）
虽然启用功能后命令即可使用，但某些安全基线或应用检查会读取注册表确认状态。可利用GPO首选项写入以下键值增强一致性：
- 路径：Computer Configuration → Preferences → Windows Settings → Registry
-
Telnet相关（仅作参考，非必需）：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services → “fDenyTSConnections”=0（此为远程桌面，勿混淆）
Telnet无标准策略注册表项，其启用状态由系统功能开关决定，注册表无直接对应开关 -
FTP无专用GPO策略项，命令行ftp.exe行为受网络策略、防火墙及凭据管理器影响，GPO中应同步配置：
“计算机配置 → 策略 → Windows设置 → 安全设置 → 高级安全防火墙 → 入站规则”中允许TCP 21端口（如需FTP服务端）
“用户配置 → 管理模板 → Windows组件 → 文件资源管理器”中可配置FTP URL处理方式（如禁用自动打开）
验证与故障排查要点
策略生效后需验证是否真正可用，而非仅显示“已启用”：
- 在目标客户端运行 gpupdate /force 并重启（因DISM启用功能需重启才完全加载驱动与服务）
- 命令行测试：
telnet 127.0.0.1 23（若报“不是内部或外部命令”，说明Telnet Client未启用成功）
ftp -v 或 ftp 127.0.0.1（观察是否进入FTP交互界面） - 常见失败原因：
启动脚本权限不足（建议用“本地系统”上下文运行）
脚本路径含空格或特殊字符导致执行失败（使用绝对路径并加引号）
Windows版本差异：Windows Server 2012 R2+ 和 Win10 1809+ 中FTP客户端始终内置，无需启用功能，但Telnet Client仍需手动开启
安全提醒：慎用，明确使用场景
Telnet与FTP均为明文协议，账号密码在网络中裸传，存在严重安全隐患：
- 除非对接不可改造的老设备（如网络设备串口服务器、工业PLC），否则应优先改用SSH（OpenSSH已内置于Win10 1809+/Server 2019+）或SFTP
- 若必须启用，建议限制使用范围：
通过GPO“安全设置 → IP安全策略”或防火墙规则，仅允许可信IP访问相关端口
禁用匿名FTP，强制使用域账户，并在AD中为对应用户启用强密码策略 - 定期审计日志：启用Windows事件日志中的“应用程序和服务日志 → Microsoft → Windows → TelnetClient-Operational”（如有）
