Kali Linux auf dem VPS: installieren, zugreifen, härten

Drei Wege, Kali Linux auf einem VPS zu betreiben

Kali ist eine von Debian abgeleitete Distribution für offensive Sicherheitsarbeit, kein allgemeines Desktop-Betriebssystem. Das Projekt sagt das selbst und warnt davor, fremde Software daraufzusetzen. Auf einem VPS prägt das Ihre Optionen. Es gibt drei praktikable Wege, grob nach Sauberkeit des Ergebnisses sortiert:

• Ein Image des Anbieters. Führt Ihr Host Kali im OS- oder Marketplace-Katalog, rollen Sie es aus und gehen direkt zu Zugriff und Härtung über. Am wenigsten bewegliche Teile.
• Kalis eigenes generisches Image. Wird Kali nicht angeboten, booten Sie den VPS in das Rescue-System des Anbieters, schreiben Kalis offizielles Generic-/Cloud-Image mit dd auf die Platte und starten neu. Das ergibt eine echte, unterstützte Kali-Installation.
• Eine Debian-Basis umbauen. Beginnen Sie mit einem einfachen Debian-VPS und ergänzen Sie das Repository kali-rolling. Das ist die am wenigsten unterstützte Variante (Kali rät vom Mischen von Repositories ab), aber für eine dedizierte Werkzeugmaschine, die Sie notfalls neu aufsetzen, völlig in Ordnung.

Daneben gibt es die Netzwerkinstallation: Kalis Netinstaller (ein kleines mini.iso) holt alles über das Netz und passt zu einem VPS, der eigene ISOs einbinden lässt. Und wenn Sie nur die Werkzeuge wollen und kein neues Betriebssystem, überspringen Sie all das und ziehen sich das Container-Image, wie unten beschrieben.

Das Repository kali-rolling auf einem Debian-VPS eintragen

Der Umbau von Debian aus ist der Weg, zu dem die meisten tatsächlich greifen, weil fast jeder Host Debian anbietet. Importieren Sie Kalis Signaturschlüssel, tragen Sie das Repository mit signed-by ein und installieren Sie dann das Keyring-Paket und ein Toolset-Metapaket:

sudo apt update && sudo apt install -y wget gnupg
wget -qO - https://archive.kali.org/archive-key.asc \
  | sudo gpg --dearmor -o /usr/share/keyrings/kali-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/kali-archive-keyring.gpg] \
http://http.kali.org/kali kali-rolling main contrib non-free non-free-firmware" \
  | sudo tee /etc/apt/sources.list.d/kali.list
sudo apt update
sudo apt install -y kali-archive-keyring kali-linux-headless

Zwei ehrliche Einschränkungen. Kali ist ein Rolling-Release, das Mischen seiner Pakete mit Debian stable kann also neuere Bibliotheken hereinziehen, als der Rest des Systems erwartet. Halten Sie die Maschine zweckgebunden. Und wenn Sie nur die Werkzeuge brauchen, etwa um einen Scanner laufen zu lassen oder im Labor einen Hash zu knacken, ist der offizielle Container die sauberste Option, denn er rührt das Host-OS nicht an:

sudo apt install -y docker.io
sudo docker run -it kalilinux/kali-rolling /bin/bash
# inside the container:
apt update && apt install -y kali-linux-headless

Toolset wählen: Kali-Metapakete

Kali teilt seine Werkzeuge in Metapakete auf, damit Sie nur installieren, was Sie brauchen. Auf einem Headless-VPS wollen Sie fast nie den vollen grafischen Umfang. Die gängigen:

Installiert wird mit sudo apt install -y kali-linux-headless. Einzelne Werkzeuge können Sie später jederzeit namentlich nachziehen. Es gibt keinen Grund, ein großes Metapaket nur für ein einziges Hilfsprogramm zu holen.

Zugriff per SSH, Desktop nur im Notfall

Kali liefert openssh-server mit, lässt den Dienst aber standardmäßig deaktiviert, und das ist richtig so. Schalten Sie ihn ein und sichern Sie ihn ab, bevor Sie den Port offen lassen:

sudo systemctl enable --now ssh
systemctl status ssh

Die Schritte, auf die es wirklich ankommt (Anmeldung per Schlüssel, PasswordAuthentication no, kein Root-Login, fail2ban), sind unter Kali dieselben wie auf jeder Debian-Basis; die Anleitung in SSH unter Ubuntu aktivieren und härten gilt nahezu wörtlich. Die meiste Kali-Arbeit läuft auf der Kommandozeile, eine Headless-Maschine per SSH reicht also in der Regel völlig.

Wenn Sie den Xfce-Desktop doch brauchen (Burp Suite, ein Browser, GUI-Werkzeuge), geben Sie ihn nicht ins Internet frei. Installieren Sie Desktop und VNC-Server und tunneln Sie ihn über SSH:

sudo apt install -y kali-desktop-xfce tigervnc-standalone-server
vncserver :1 -localhost          # bind to localhost only
# from your own machine, open the tunnel:
ssh -L 5901:localhost:5901 kali@SERVER_IP

Richten Sie Ihren VNC-Client auf localhost:5901. xRDP funktioniert genauso: installieren, 3389 in der Firewall gesperrt halten und den Port mit ssh -L 3390:localhost:3389 kali@SERVER_IP weiterleiten. Wenn Sie umgekehrt von einem Linux-Desktop auf eine Windows-Maschine wollen, behandelt Remote Desktop von Linux zu Windows die RDP-Clients.

Härten: Kali ist ein Ziel

Ein Server, der SSH anbietet, wird binnen Minuten gescannt, und ein Server voller Exploit-Code ist für den Finder besonders wertvoll. Behandeln Sie die Maschine vom ersten Boot an als exponiert.

• Betreiben Sie eine Default-Deny-Firewall. Kali aktiviert keine für Sie. Erlauben Sie nur, was Sie nutzen.

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable

• Wissen, was lauscht. Jeder offene Port ist Angriffsfläche. Prüfen Sie sie mit den Befehlen zum Prüfen offener Ports unter Linux und schließen Sie alles, was nicht offen sein soll.
• Arbeiten Sie nicht als root. Kali legt bei der Installation einen normalen Benutzer kali an; nutzen Sie ihn und greifen Sie nur zu sudo, wenn ein Werkzeug es wirklich braucht.
• Halten Sie das Rolling-Release aktuell. Rolling bedeutet häufige, teils große Updates: Führen Sie regelmäßig sudo apt update && sudo apt full-upgrade -y aus.
• Halten Sie VNC und xRDP von der öffentlichen Schnittstelle fern. An localhost binden und wie oben über SSH tunneln. Den Port eines Dienstes zu ändern ist Verschleierung, keine Sicherheit: Vor einem echten Scan verbirgt es nichts.

Wie viel CPU, RAM und Speicher braucht es?

Kali skaliert mit dem, was Sie installieren. Ein Headless-Toolset per SSH ist leichtgewichtig, ein Desktop mit schwerem Web-App-Werkzeug nicht. Kalis eigene Empfehlung als Ausgangspunkt:

Der Speicher füllt sich schneller als gedacht, sobald kali-linux-large und Rolling-Updates zusammenkommen. Planen Sie Reserve ein. Zwei dedizierte vCPUs bewältigen die meisten Aufgaben; Passwort-Cracking und Fuzzing nehmen alles, was Sie ihnen geben. Das sind Richtwerte, keine Benchmarks. Dimensionieren Sie nach Ihrem tatsächlichen Toolset.

Rechtlich sauber bleiben: nur autorisierte Tests

Kalis Werkzeuge zu besitzen und auszuführen ist legal; sie gegen Systeme einzusetzen, die Ihnen nicht gehören oder für die keine schriftliche Erlaubnis vorliegt, ist es nicht. Das Scannen, Ausnutzen oder Brute-Forcen fremder Infrastruktur kann Computerstrafrecht verletzen (dort, wo Sie sitzen, wie auch am Standort des Ziels), und die Nutzungsrichtlinie jedes serioesen Anbieters, rdp.monster eingeschlossen, verbietet es, einen Server für Angriffe auf andere zu verwenden. Halten Sie Ihre Arbeit im eigenen Labor, in einem Kundenauftrag mit unterschriebenem Scope oder in einem genehmigten CTF- bzw. Trainingsumfeld. Unbefugte Aktivität führt zur Sperrung des Servers und kann strafrechtliche Folgen haben; es gibt keine Grauzone, die das Risiko wert wäre.

All das setzt eine Maschine voraus, auf der Sie vollen Root-Zugriff haben und die Sie ohne Rückfrage neu aufsetzen können. Ein Linux-VPS von rdp.monster passt genau dazu: voller Root-Zugriff, dedizierte CPU und RAM, unbegrenzte Bandbreite (Fair Use), kein KYC, Zahlung in Krypto oder Fiat, ab $8.99 pro Monat, und der Server ist etwa 10 Sekunden nach Zahlungsbestätigung online. Debian ausrollen, kali-rolling und kali-linux-headless ergänzen, SSH härten, und fertig ist eine Wegwerf-Pentest-Maschine, die Sie nach jedem Auftrag löschen und neu ausrollen können.

Häufig gestellte Fragen

Kann ich Kali Linux bei jedem VPS-Anbieter installieren?

Fast jeder Host funktioniert, sofern er vollen Root-Zugriff und entweder ein Kali-Image oder eine umbaubare Debian-Basis bietet.

Bei den meisten VPS-Hostern lässt sich Kali auf die eine oder andere Weise betreiben. Manche führen es direkt im OS-Katalog. Andernfalls booten Sie in der Regel in ein Rescue-System und schreiben Kalis generisches Image auf die Platte, binden das Netinstaller-ISO ein oder starten von Debian aus und ergänzen das Repository kali-rolling. Nötig sind voller Root-Zugriff und idealerweise Konsolen- oder Rescue-Zugang. Vollständig gemanagte oder Shared-Tarife, die das Betriebssystem sperren, funktionieren nicht.

Eignet sich Kali Linux als alltägliches Server-Betriebssystem?

Nein, Kali ist eine spezialisierte Sicherheitsdistribution, kein Allzweck-Server-Betriebssystem.

Kali wird für Penetrationstests und Forensik gebaut und gepflegt, und die eigene Dokumentation warnt davor, es als allgemeinen Desktop zu nutzen oder fremde Software zu ergänzen. Für das Hosten einer Website, Datenbank oder Anwendung ist ein gewöhnlicher Debian- oder Ubuntu-Server die bessere Basis: stabil, breit dokumentiert und von jedem Control Panel unterstützt. Halten Sie Kali zweckgebunden: eine Werkzeugmaschine, die Sie für einen Auftrag hochfahren und danach neu aufsetzen, getrennt von allem Produktiven.

Brauche ich eine GUI oder lässt sich Kali komplett per SSH betreiben?

Die meisten Kali-Werkzeuge laufen auf der Kommandozeile, ein Headless-VPS per SSH genügt daher für die Mehrzahl der Aufgaben.

Der Großteil von Kalis Werkzeugen (nmap, hydra, sqlmap, hashcat und der Rest) läuft auf der Kommandozeile, eine per SSH erreichte Headless-Installation deckt also die meisten Arbeitsabläufe ab und braucht deutlich weniger RAM und Speicher. Installieren Sie kali-linux-headless und lassen Sie den Desktop weg. Xfce mit VNC- oder xRDP-Server ergänzen Sie nur für die wenigen GUI-Werkzeuge wie Burp Suite und tunneln diesen Desktop über SSH, statt ihn ins Internet zu stellen.

Wie halte ich einen Kali-VPS aktuell?

Kali ist ein Rolling Release; führen Sie regelmäßig apt update und full-upgrade aus.

Kali folgt dem Zweig kali-rolling, Pakete werden also fortlaufend statt in festen Versionen aktualisiert. Halten Sie das System mit sudo apt update && sudo apt full-upgrade -y aktuell, alle ein bis zwei Wochen. Weil es rollt, sind Updates mitunter groß und ziehen gelegentlich neue Bibliotheksversionen nach. Starten Sie also keinen kritischen Scan direkt nach einem ungetesteten Upgrade. Bei Signaturfehlern frischen Sie den Archivschlüsselbund mit sudo apt install -y kali-archive-keyring auf.