Kali Linux en un VPS: instalar, acceder y proteger

Tres formas de ejecutar Kali Linux en un VPS

Kali es una distribución derivada de Debian creada para trabajo de seguridad ofensiva, no un sistema de escritorio de uso general. El propio proyecto lo dice y desaconseja instalarle encima software ajeno. En un VPS eso condiciona tus opciones. Tienes tres vías prácticas, ordenadas más o menos por lo limpio del resultado:

• Una imagen del proveedor. Si tu host incluye Kali en su catálogo de sistemas operativos o en su marketplace, despliégala y pasa directamente al acceso y al hardening. Menos piezas móviles.
• La imagen genérica propia de Kali. Cuando no se ofrece Kali, arranca el VPS en el sistema de rescate del proveedor y escribe la imagen oficial genérica/cloud de Kali en el disco con dd, y reinicia en ella. Así obtienes una instalación de Kali real y soportada.
• Convertir una base Debian. Parte de un VPS Debian sencillo y añade el repositorio kali-rolling. Es la opción menos soportada (Kali desaconseja mezclar repositorios), pero sirve para una máquina de herramientas dedicada que estés dispuesto a reinstalar.

También existe la instalación por red: el netinstaller de Kali (un pequeño mini.iso) descarga todo por la red, lo que encaja con un VPS que permita adjuntar una ISO personalizada. Y si solo quieres las herramientas, no un sistema operativo nuevo, sáltate todo esto y descarga la imagen de contenedor, que se explica más abajo.

Añadir el repositorio kali-rolling a un VPS Debian

La vía de convertir Debian es la que más gente acaba usando, porque casi todos los hosts ofrecen Debian. Importa la clave de firma de Kali, registra el repositorio con signed-by, y después instala el paquete del llavero y un metapaquete de herramientas:

sudo apt update && sudo apt install -y wget gnupg
wget -qO - https://archive.kali.org/archive-key.asc \
  | sudo gpg --dearmor -o /usr/share/keyrings/kali-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/kali-archive-keyring.gpg] \
http://http.kali.org/kali kali-rolling main contrib non-free non-free-firmware" \
  | sudo tee /etc/apt/sources.list.d/kali.list
sudo apt update
sudo apt install -y kali-archive-keyring kali-linux-headless

Dos advertencias honestas. Kali es una distribución rolling, así que mezclar sus paquetes con Debian estable puede traer bibliotecas más nuevas de las que espera el resto del sistema. Mantén la máquina de propósito único. Y si lo único que quieres es el instrumental, como lanzar un escáner o romper un hash en un laboratorio, la opción más limpia es el contenedor oficial, que no toca el sistema anfitrión:

sudo apt install -y docker.io
sudo docker run -it kalilinux/kali-rolling /bin/bash
# inside the container:
apt update && apt install -y kali-linux-headless

Elige un conjunto de herramientas: metapaquetes de Kali

Kali reparte sus herramientas en metapaquetes para que instales solo lo que necesitas. En un VPS sin entorno gráfico casi nunca querrás el surtido gráfico completo. Los más habituales:

Instala con sudo apt install -y kali-linux-headless. Siempre puedes añadir después herramientas sueltas por su nombre: no hace falta descargar un metapaquete enorme solo para conseguir una utilidad.

Accede por SSH y añade un escritorio solo si es imprescindible

Kali incluye openssh-server pero deja el servicio desactivado por defecto, lo cual es la decisión correcta. Actívalo y luego asegúralo antes de dejar el puerto expuesto:

sudo systemctl enable --now ssh
systemctl status ssh

Los pasos que de verdad importan (inicio de sesión por clave, PasswordAuthentication no, sin login de root, fail2ban) son los mismos en Kali que en cualquier sistema basado en Debian; la guía de activar SSH y protegerlo en Ubuntu se aplica casi literalmente. Casi todo el trabajo con Kali es de línea de comandos, así que una máquina sin entorno gráfico por SSH suele bastar.

Cuando sí necesites el escritorio Xfce (Burp Suite, un navegador, herramientas gráficas), no lo expongas a internet. Instala un escritorio y un servidor VNC, y haz un túnel sobre SSH:

sudo apt install -y kali-desktop-xfce tigervnc-standalone-server
vncserver :1 -localhost          # bind to localhost only
# from your own machine, open the tunnel:
ssh -L 5901:localhost:5901 kali@SERVER_IP

Apunta tu cliente VNC a localhost:5901. xRDP funciona igual: instálalo, mantén el 3389 tras el cortafuegos y reenvía el puerto con ssh -L 3390:localhost:3389 kali@SERVER_IP. Si vas en el sentido contrario, de un escritorio Linux a una máquina Windows, escritorio remoto de Linux a Windows repasa los clientes RDP.

Protégelo: Kali es un objetivo

Un servidor que anuncia SSH recibe escaneos a los pocos minutos, y un servidor lleno de código de explotación vale más para quien lo encuentre. Trata la máquina como expuesta a un entorno hostil desde el primer arranque.

• Usa un cortafuegos de denegación por defecto. Kali no activa ninguno por ti. Permite solo lo que uses.

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable

• Sepa qué está escuchando. Cada puerto abierto es superficie de ataque, así que audítalo con los comandos para comprobar los puertos abiertos en Linux y cierra todo lo que no pretendías exponer.
• No trabajes como root. Kali crea un usuario normal kali durante la instalación; úsalo y recurre a sudo solo cuando una herramienta lo necesite de verdad.
• Mantén al día la rolling release. Rolling significa actualizaciones frecuentes y a veces grandes: ejecuta sudo apt update && sudo apt full-upgrade -y con regularidad.
• Mantén VNC y xRDP fuera de la interfaz pública. Enlázalos a localhost y haz túnel sobre SSH, como arriba. Cambiar el puerto de un servicio es ofuscación, no seguridad — no oculta nada ante un escaneo real.

¿Cuánta CPU, RAM y disco necesita?

Kali escala según lo que instales. Un conjunto de herramientas sin interfaz gráfica por SSH es ligero; un escritorio más herramientas pesadas de aplicaciones web no lo es. Las recomendaciones del propio Kali, como punto de partida:

El disco se llena más rápido de lo que esperas en cuanto se acumulan kali-linux-large y las actualizaciones rolling, así que déjate margen. Dos vCPU dedicadas cubren la mayoría de tareas; el cracking de contraseñas y el fuzzing usarán todo lo que les des. Son orientaciones, no benchmarks: dimensiona según tu conjunto real de herramientas.

Mantente dentro de la ley: solo pruebas autorizadas

Las herramientas de Kali son legales de tener y de ejecutar; usarlas contra sistemas que no son tuyos o para los que no tienes permiso por escrito no lo es. Escanear, explotar o hacer fuerza bruta contra infraestructura de terceros puede infringir las leyes sobre uso indebido de sistemas informáticos allí donde estés tú o el objetivo, y la política de uso aceptable de cualquier proveedor serio (rdp.monster incluido) prohíbe usar un servidor para atacar a otros. Mantén tu trabajo dentro de tu propio laboratorio, de un encargo de cliente con alcance firmado, o de un CTF o campo de entrenamiento autorizado. La actividad no autorizada acaba con el servidor suspendido y puede acarrear responsabilidad penal; no hay zona gris que compense el riesgo.

Todo esto da por hecho una máquina en la que tengas root completo y puedas reconstruirla sin pedir permiso a nadie. Un VPS Linux de rdp.monster encaja con ese perfil: acceso root completo, CPU y RAM dedicadas, ancho de banda ilimitado (uso razonable), sin KYC, pago en cripto o dinero fiat, desde 8,99 $ al mes, y el servidor está en línea unos 10 segundos después de confirmarse el pago. Despliega Debian, añade kali-rolling y kali-linux-headless, protege SSH y tendrás una máquina de pentesting desechable que puedes borrar y volver a desplegar cada vez que termine un encargo.

Preguntas frecuentes

¿Puedo instalar Kali Linux en cualquier proveedor de VPS?

Casi cualquier host sirve si te da root completo y una imagen de Kali o una base Debian que convertir.

La mayoría de los hosts de VPS permiten ejecutar Kali de una forma u otra. Algunos lo incluyen directamente en su catálogo de sistemas operativos. Cuando no es así, normalmente puedes arrancar en un sistema de rescate y escribir en disco la imagen genérica de Kali, adjuntar la ISO del netinstaller, o partir de Debian y añadir el repositorio kali-rolling. Lo que necesitas es root completo y, a ser posible, acceso a consola o al modo rescate. Los planes totalmente gestionados o compartidos que bloquean el sistema operativo no valen.

¿Es Kali Linux un buen sistema operativo de servidor para el día a día?

No, Kali es una distribución de seguridad especializada, no un sistema operativo de servidor de uso general.

Kali está construido y mantenido para pruebas de penetración y análisis forense, y su propia documentación desaconseja usarlo como escritorio general o añadirle software ajeno. Para alojar un sitio web, una base de datos o una aplicación, un servidor Debian o Ubuntu estándar es mejor base: estable, ampliamente documentado y compatible con cualquier panel de control. Mantén Kali de propósito único: una máquina de herramientas que levantas para un encargo y reconstruyes después, separada de todo lo que esté en producción.

¿Necesito interfaz gráfica o puedo usar Kali enteramente por SSH?

La mayoría de herramientas de Kali son de línea de comandos, así que un VPS sin entorno gráfico por SSH basta para casi todo.

El grueso de las herramientas de Kali (nmap, hydra, sqlmap, hashcat y las demás) son de línea de comandos, así que una instalación sin entorno gráfico usada por SSH cubre la mayoría de flujos de trabajo y consume mucha menos RAM y disco. Instala kali-linux-headless y prescinde del escritorio. Añade Xfce con un servidor VNC o xRDP solo para el puñado de herramientas gráficas como Burp Suite, y haz un túnel de ese escritorio sobre SSH en lugar de exponerlo a internet.

¿Cómo mantengo actualizado un VPS con Kali?

Kali es una rolling release; ejecuta apt update y full-upgrade con regularidad.

Kali sigue la rama kali-rolling, lo que significa que los paquetes se actualizan de forma continua en lugar de en versiones fijas. Mantén el sistema al día con sudo apt update && sudo apt full-upgrade -y, ejecutado cada una o dos semanas. Al ser rolling, las actualizaciones son a veces grandes y ocasionalmente traen versiones nuevas de bibliotecas, así que no lances un escaneo crítico justo después de una actualización sin probar. Refresca el llavero del archivo con sudo apt install -y kali-archive-keyring si aparecen errores de firma.