VPS Kali Linux : installer, y acceder et le durcir

Trois façons de faire tourner Kali Linux sur un VPS

Kali est une distribution dérivée de Debian conçue pour la sécurité offensive, pas pour servir de système de bureau généraliste. Le projet le dit lui-même et déconseille d’y greffer des logiciels sans rapport. Sur un VPS, cela oriente vos choix. Trois voies pratiques, classées grosso modo de la plus propre à la moins propre :

• Une image du fournisseur. Si votre hébergeur liste Kali dans son catalogue d’OS ou sa marketplace, déployez-la et passez directement à l’accès et au durcissement. C’est la voie la plus simple.
• L’image générique de Kali. Quand Kali n’est pas proposé, démarrez le VPS sur le système de secours du fournisseur et écrivez l’image officielle générique/cloud de Kali sur le disque avec dd, puis redémarrez dessus. Vous obtenez une vraie installation Kali supportée.
• Convertir une base Debian. Partez d’un VPS Debian standard et ajoutez le dépôt kali-rolling. C’est l’option la moins supportée (Kali déconseille de mélanger les dépôts), mais elle convient très bien à une machine d’outillage dédiée que vous acceptez de réinstaller.

Il existe aussi l’installation réseau : le netinstaller de Kali (un petit mini.iso) télécharge tout depuis le réseau, ce qui convient à un VPS permettant de monter une ISO personnalisée. Et si vous ne voulez que les outils, pas un nouveau système d’exploitation, sautez tout cela et récupérez l’image de conteneur, décrite plus bas.

Ajouter le dépôt kali-rolling à un VPS Debian

La conversion depuis Debian est la voie que la plupart des gens empruntent, parce que presque tous les hébergeurs proposent Debian. Importez la clé de signature de Kali, déclarez le dépôt avec signed-by, puis installez le paquet de trousseau et un métapaquet d’outils :

sudo apt update && sudo apt install -y wget gnupg
wget -qO - https://archive.kali.org/archive-key.asc \
  | sudo gpg --dearmor -o /usr/share/keyrings/kali-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/kali-archive-keyring.gpg] \
http://http.kali.org/kali kali-rolling main contrib non-free non-free-firmware" \
  | sudo tee /etc/apt/sources.list.d/kali.list
sudo apt update
sudo apt install -y kali-archive-keyring kali-linux-headless

Deux réserves honnêtes. Kali est une distribution rolling : mélanger ses paquets avec Debian stable peut tirer des bibliothèques plus récentes que ce que le reste du système attend. Gardez la machine mono-usage. Et si vous ne voulez que l’outillage, par exemple lancer un scanner ou casser un hash en laboratoire, l’option la plus propre reste le conteneur officiel, qui ne touche jamais au système hôte :

sudo apt install -y docker.io
sudo docker run -it kalilinux/kali-rolling /bin/bash
# inside the container:
apt update && apt install -y kali-linux-headless

Choisir un jeu d’outils : les métapaquets Kali

Kali répartit ses outils en métapaquets pour n’installer que le nécessaire. Sur un VPS sans interface graphique, vous ne voulez presque jamais tout l’attirail graphique. Les plus courants :

Installez avec sudo apt install -y kali-linux-headless. Vous pourrez toujours ajouter des outils individuels par leur nom ensuite : inutile de tirer un gros métapaquet pour un seul utilitaire.

Y accéder en SSH, n’ajouter un bureau qu’en cas de besoin

Kali livre openssh-server mais laisse le service désactivé par défaut, ce qui est le bon choix. Activez-le, puis verrouillez-le avant de laisser le port exposé :

sudo systemctl enable --now ssh
systemctl status ssh

Les mesures qui comptent vraiment (connexion par clé, PasswordAuthentication no, pas de connexion root, fail2ban) sont les mêmes sur Kali que sur n’importe quel système dérivé de Debian ; le guide activer SSH et le durcir sur Ubuntu s’applique presque mot pour mot. L’essentiel du travail sous Kali se fait en ligne de commande : une machine sans interface graphique accessible en SSH suffit généralement.

Quand vous avez vraiment besoin du bureau Xfce (Burp Suite, un navigateur, des outils graphiques), ne l’exposez pas à Internet. Installez un bureau et un serveur VNC, puis tunnelisez-le via SSH :

sudo apt install -y kali-desktop-xfce tigervnc-standalone-server
vncserver :1 -localhost          # bind to localhost only
# from your own machine, open the tunnel:
ssh -L 5901:localhost:5901 kali@SERVER_IP

Pointez votre client VNC sur localhost:5901. xRDP fonctionne de la même manière : installez-le, gardez le 3389 derrière le pare-feu et redirigez le port avec ssh -L 3390:localhost:3389 kali@SERVER_IP. Si vous allez dans l’autre sens, d’un bureau Linux vers une machine Windows, l’article bureau à distance depuis Linux vers Windows passe en revue les clients RDP.

Durcir la machine : Kali est une cible

Un serveur qui annonce SSH est scanné en quelques minutes, et un serveur rempli de code d’exploitation vaut encore plus cher pour qui le trouve. Considérez la machine comme exposée à l’hostilité dès le premier démarrage.

• Appliquez un pare-feu en deny par défaut. Kali n’en active aucun pour vous. N’autorisez que ce que vous utilisez.

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable

• Sachez ce qui écoute. Chaque port ouvert est une surface d’attaque : auditez-la avec les commandes pour vérifier les ports ouverts sous Linux et fermez tout ce que vous n’aviez pas l’intention d’exposer.
• Ne travaillez pas en root. Kali crée un utilisateur kali normal à l’installation ; utilisez-le et ne recourez à sudo que lorsqu’un outil l’exige vraiment.
• Gardez la rolling release à jour. Rolling signifie des mises à jour fréquentes, parfois volumineuses : lancez sudo apt update && sudo apt full-upgrade -y régulièrement.
• Gardez VNC et xRDP hors de l’interface publique. Liez-les à localhost et tunnelisez via SSH, comme ci-dessus. Changer le port d’un service relève de l’obfuscation, pas de la sécurité : cela ne cache rien à un vrai scan.

Quels CPU, RAM et disque faut-il ?

Kali dimensionne selon ce que vous installez. Un jeu d’outils sans interface graphique en SSH est léger ; un bureau plus de l’outillage web lourd ne l’est pas. Les recommandations de Kali, comme point de départ :

Le disque se remplit plus vite qu’on ne le croit une fois kali-linux-large et les mises à jour rolling accumulés : prévoyez de la marge. Deux vCPU dédiés couvrent la plupart des tâches ; le cassage de mots de passe et le fuzzing consommeront tout ce que vous leur donnerez. Ce sont des repères, pas des benchmarks : dimensionnez selon votre outillage réel.

Rester dans la légalité : tests autorisés uniquement

Les outils de Kali sont légaux à posséder et à utiliser ; les employer contre des systèmes qui ne vous appartiennent pas ou pour lesquels vous n’avez pas d’autorisation écrite ne l’est pas. Scanner, exploiter ou attaquer par force brute une infrastructure tierce peut tomber sous le coup des lois sur la fraude informatique, chez vous comme chez la cible, et la politique d’usage acceptable de tout fournisseur sérieux (rdp.monster compris) interdit d’utiliser un serveur pour en attaquer d’autres. Restez dans votre propre laboratoire, une mission client au périmètre signé, ou un CTF ou un champ d’entraînement autorisé. Une activité non autorisée fait suspendre le serveur et peut engager votre responsabilité pénale ; aucune zone grise ne vaut ce risque.

Tout cela suppose une machine sur laquelle vous détenez le root complet et que vous pouvez reconstruire sans demander la permission. Un VPS Linux chez rdp.monster correspond exactement à ce profil : accès root complet, CPU et RAM dédiés, bande passante illimitée (fair-use), sans KYC, paiement en crypto ou en monnaie fiduciaire, à partir de $8.99 par mois, et le serveur est en ligne environ 10 secondes après confirmation du paiement. Déployez Debian, ajoutez kali-rolling et kali-linux-headless, durcissez SSH, et vous obtenez une machine de pentest jetable que vous pouvez effacer et redéployer à la fin de chaque mission.

Foire aux questions

Puis-je installer Kali Linux chez n’importe quel fournisseur de VPS ?

Presque tous les hébergeurs conviennent s’ils donnent le root complet et proposent soit une image Kali, soit une base Debian à convertir.

La plupart des hébergeurs VPS permettent de faire tourner Kali d’une manière ou d’une autre. Certains le listent directement dans leur catalogue d’OS. Sinon, vous pouvez généralement démarrer sur un système de secours et écrire l’image générique de Kali sur le disque, monter l’ISO du netinstaller, ou partir de Debian et ajouter le dépôt kali-rolling. Ce qu’il vous faut, c’est le root complet et, idéalement, un accès console ou rescue. Les offres entièrement infogérées ou mutualisées qui verrouillent l’OS ne conviendront pas.

Kali Linux est-il un bon OS serveur au quotidien ?

Non, Kali est une distribution de sécurité spécialisée, pas un OS serveur généraliste.

Kali est conçu et maintenu pour les tests d’intrusion et l’investigation numérique, et sa propre documentation déconseille de l’utiliser comme bureau généraliste ou d’y ajouter des logiciels sans rapport. Pour héberger un site, une base de données ou une application, un serveur Debian ou Ubuntu standard reste la meilleure base : stable, largement documenté et pris en charge par tous les panneaux de contrôle. Gardez Kali mono-usage : une machine d’outillage que vous démarrez pour une mission et reconstruisez ensuite, séparée de tout ce qui est en production.

Ai-je besoin d’une interface graphique, ou puis-je tout faire en SSH ?

La plupart des outils Kali sont en ligne de commande : un VPS sans interface graphique, en SSH, suffit pour la majorité des tâches.

L’essentiel des outils de Kali (nmap, hydra, sqlmap, hashcat et les autres) fonctionne en ligne de commande : une installation sans interface graphique atteinte en SSH couvre la plupart des usages et consomme bien moins de RAM et de disque. Installez kali-linux-headless et laissez tomber le bureau. N’ajoutez Xfce avec un serveur VNC ou xRDP que pour la poignée d’outils graphiques comme Burp Suite, et tunnelisez ce bureau via SSH plutôt que de l’exposer à Internet.

Comment maintenir un VPS Kali à jour ?

Kali est une rolling release : lancez régulièrement apt update puis full-upgrade.

Kali suit la branche kali-rolling, ce qui signifie que les paquets se mettent à jour en continu plutôt que par versions figées. Gardez le système à jour avec sudo apt update && sudo apt full-upgrade -y, toutes les une à deux semaines. Comme la distribution roule, les mises à jour sont parfois volumineuses et tirent occasionnellement de nouvelles versions de bibliothèques : ne lancez pas un scan critique juste après une mise à jour non testée. Rafraîchissez le trousseau d’archive avec sudo apt install -y kali-archive-keyring si des erreurs de signature apparaissent.