邮件服务器排障时，图形化客户端往往把真实错误掩盖掉了，用户只看到一句发送失败，却无法判断问题出在网络层、认证环节还是服务器本身的收信策略。Telnet 作为最原始的远程连接工具，可以直接与 SMTP 服务器的 25 端口建立 TCP 连接，手工敲入协议指令，逐步观察服务器返回的状态码，从而把问题精确定位到某一个环节。这种方式不依赖任何邮件客户端，是运维工程师和后端开发者排查邮件问题的基本功。
测试前的准备工作：安装 Telnet 客户端并确认网络策略
Windows 10 和 Windows 11 默认没有启用 Telnet 客户端，需要先手动安装。打开控制面板进入程序和功能，点击启用或关闭 Windows 功能，勾选 Telnet Client 后确定。也可以用管理员身份打开 PowerShell，执行一条命令完成安装：
dism /online /Enable-Feature /FeatureName:TelnetClient
Linux 发行版一般可以通过包管理器直接安装，例如 CentOS 执行 yum install telnet，Debian 或 Ubuntu 执行 apt install telnet。macOS 自带 Telnet 在较新版本中被移除了，可以用 brew install telnet 补上，或者直接使用 nc 命令替代。
还需要注意一点：很多云服务器厂商（如阿里云、腾讯云、AWS）默认封禁了 25 端口的出站流量，这是为了防止垃圾邮件滥用。如果你在自己的服务器上测试第三方邮件服务商的 25 端口一直超时，大概率不是对方服务器的问题，而是本机出站 25 端口被封。这种情况建议改用 465（SMTPS）或 587（提交端口）测试，或向云厂商申请解封。
完整测试流程：从建立连接到发送一封测试邮件
假设要测试的 SMTP 服务器是 mail.ipipp.com，在命令行执行以下命令发起连接：
telnet mail.ipipp.com 25
连接成功后，服务器会返回类似 220 mail.ipipp.com ESMTP Postfix ready 的欢迎信息。220 是 SMTP 协议中的服务就绪状态码，看到它说明 TCP 三次握手已经完成，网络层和传输层都是通的。接下来发送 EHLO 指令声明客户端身份，并查询服务器支持的能力列表：
EHLO testclient.local
服务器会返回 250 状态码以及多行能力描述，常见的包括 PIPELINING、SIZE 10485760、AUTH LOGIN PLAIN、STARTTLS 等。其中 AUTH 行告诉我们服务器接受哪种认证方式，STARTTLS 表示支持将明文连接升级为加密连接。
如果服务器要求认证（大多数中继服务器都要求），需要执行 AUTH LOGIN，服务器返回 334 提示后，依次输入 Base64 编码后的用户名和密码。注意这里输入的内容是编码后的字符串而不是明文，可以在本地先生成：
printf 'user@ippipp.com' | base64 printf 'yourpassword' | base64
认证通过后返回 235 Authentication successful。接下来按照 MAIL FROM、RCPT TO、DATA 的顺序完成一次完整的发信流程：
MAIL FROM:<user@ipipp.com> 250 2.1.0 Ok RCPT TO:<target@ipipp.com> 250 2.1.5 Ok DATA 354 End data with <CR><LF>.<CR><LF> Subject: Telnet Test From: user@ipipp.com To: target@ipipp.com This is a test mail. .
正文输入完毕后，单独输入一个句点并回车表示结束，服务器返回 250 Ok queued 表示邮件已进入队列。最后输入 QUIT 断开连接。到这里，整条 SMTP 链路就验证完毕了。
常见返回码与故障排查思路
Telnet 测试最大的价值在于能拿到服务器第一手的返回码，根据不同的码可以快速判断问题所在。连接阶段直接卡住不动或者提示 Connection timed out，说明 25 端口不可达，需要排查防火墙、安全组规则以及前面提到的运营商封 port 25 策略；提示 Connection refused 则说明端口可达但目标机器上没有服务在监听，应检查 SMTP 服务是否启动。
交互阶段的错误码更值得细看。550 通常表示邮箱不存在或被拒收，例如 550 5.1.1 User unknown 说明收件人地址无效；550 5.7.1 Relaying denied 表示服务器拒绝中继，常见于没有完成认证就试图向外部域名发信。554 一般是永久性拒绝，可能是对方把你的 IP 加入了黑名单。535 认证失败则要检查用户名密码是否正确、账户是否被锁定，以及密码中特殊字符的 Base64 编码是否出错。
还有一个容易被忽略的坑：Windows 自带的 Telnet 客户端在默认状态下，某些 SMTP 客户端对退格键和本地回显的处理会导致指令显示混乱。如果输入时看不到自己敲的内容，可以先执行 Ctrl + ] 进入 Telnet 自身命令模式，输入 set localecho 打开本地回显，再输入 quit 返回会话即可。
Telnet 之外的替代测试方案
如果环境里没有 Telnet，也可以用其他工具达到同样效果。Linux 下最方便的是 nc（netcat）：
nc -zv mail.ipipp.com 25
-z 表示只扫描端口不发送数据，-v 输出详细信息，适合快速验证端口连通性。Windows PowerShell 则内置了 Test-NetConnection cmdlet：
Test-NetConnection -ComputerName mail.ipipp.com -Port 25
输出中的 TcpTestSucceeded 为 True 表示端口可达。需要说明的是，这两个工具只能验证 TCP 层连通，无法像 Telnet 那样继续完成 SMTP 协议交互。如果需要更深入的协议级测试，可以使用 swaks（Swiss Army Knife for SMTP）这个专用工具，它支持一条命令指定发件人、收件人、认证方式并发送测试邮件，输出完整的协议交互过程，排查复杂问题时比手工 Telnet 效率高得多。
总结一下，Telnet 测试 SMTP 25 端口的核心思路是分层验证：先确认 TCP 连通，再验证握手和能力协商，然后测试认证，最后完成一次完整的收发流程。每一层出问题都有对应的状态码可以参考，掌握了这套方法，邮件服务的大部分故障都能在几分钟内定位到具体环节。