Kali Linux su VPS: installazione, accesso e sicurezza

Tre modi per far girare Kali Linux su un VPS

Kali è una distribuzione derivata da Debian, pensata per il lavoro di sicurezza offensiva e non come sistema desktop generalista. Lo dice il progetto stesso, che sconsiglia di aggiungerci software non correlato. Su un VPS questo condiziona le scelte. Hai tre strade pratiche, ordinate grosso modo per pulizia del risultato:

• Un’immagine del provider. Se il tuo host elenca Kali nel catalogo di sistemi operativi o nel marketplace, distribuiscila e passa direttamente all’accesso e alla messa in sicurezza. È la via con meno parti in movimento.
• L’immagine generica di Kali. Quando Kali non viene offerta, avvia il VPS nel sistema di rescue del provider e scrivi sul disco l’immagine ufficiale generic/cloud di Kali con dd, poi riavvia su di essa. Ottieni un’installazione Kali reale e supportata.
• Convertire una base Debian. Parti da un VPS Debian standard e aggiungi il repository kali-rolling. È l’opzione meno supportata (Kali sconsiglia di mescolare i repository), ma va bene per una macchina dedicata agli strumenti che sei disposto a reinstallare.

Esiste anche l’installazione via rete: il netinstaller di Kali (un piccolo mini.iso) scarica tutto dalla rete, soluzione adatta a un VPS che permette di montare una ISO personalizzata. E se vuoi solo gli strumenti, non un nuovo sistema operativo, salta tutto questo e scarica l’immagine container, di cui parliamo più sotto.

Aggiungere il repository kali-rolling a un VPS Debian

La conversione da Debian è la via a cui ricorre la maggior parte delle persone, perché quasi tutti gli host offrono Debian. Importa la chiave di firma di Kali, registra il repository con signed-by, poi installa il pacchetto keyring e un metapacchetto di strumenti:

sudo apt update && sudo apt install -y wget gnupg
wget -qO - https://archive.kali.org/archive-key.asc \
  | sudo gpg --dearmor -o /usr/share/keyrings/kali-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/kali-archive-keyring.gpg] \
http://http.kali.org/kali kali-rolling main contrib non-free non-free-firmware" \
  | sudo tee /etc/apt/sources.list.d/kali.list
sudo apt update
sudo apt install -y kali-archive-keyring kali-linux-headless

Due avvertenze oneste. Kali è una release rolling, quindi mescolare i suoi pacchetti con Debian stable può portare librerie più recenti di quanto il resto del sistema si aspetti. Tieni la macchina dedicata a un solo scopo. E se ti serve solo il tooling, per esempio far girare uno scanner o craccare un hash in laboratorio, l’opzione più pulita è il container ufficiale, che non tocca mai il sistema operativo host:

sudo apt install -y docker.io
sudo docker run -it kalilinux/kali-rolling /bin/bash
# inside the container:
apt update && apt install -y kali-linux-headless

Scegliere un set di strumenti: i metapacchetti Kali

Kali suddivide i suoi strumenti in metapacchetti, così installi solo ciò che ti serve. Su un VPS headless quasi mai vuoi l’intera dotazione grafica. I più comuni:

Installa con sudo apt install -y kali-linux-headless. Puoi sempre aggiungere in seguito i singoli strumenti per nome: non serve scaricare un metapacchetto enorme solo per ottenere un’utilità.

Accedere via SSH e aggiungere un desktop solo se indispensabile

Kali include openssh-server ma lascia il servizio disattivato di default, ed è la scelta giusta. Attivalo, poi mettilo in sicurezza prima di lasciare la porta esposta:

sudo systemctl enable --now ssh
systemctl status ssh

I passaggi che contano davvero (login a chiave, PasswordAuthentication no, nessun accesso root, fail2ban) sono gli stessi su Kali come su qualsiasi sistema basato su Debian; la guida in come attivare SSH e metterlo in sicurezza su Ubuntu si applica quasi alla lettera. La maggior parte del lavoro con Kali è da riga di comando, quindi una macchina headless via SSH di solito basta.

Quando ti serve davvero il desktop Xfce (Burp Suite, un browser, strumenti grafici), non esporlo a internet. Installa un desktop e un server VNC, poi incapsulalo in un tunnel SSH:

sudo apt install -y kali-desktop-xfce tigervnc-standalone-server
vncserver :1 -localhost          # bind to localhost only
# from your own machine, open the tunnel:
ssh -L 5901:localhost:5901 kali@SERVER_IP

Punta il tuo client VNC su localhost:5901. xRDP funziona allo stesso modo: installalo, tieni la porta 3389 chiusa dal firewall e inoltra la porta con ssh -L 3390:localhost:3389 kali@SERVER_IP. Se invece vai nella direzione opposta, da un desktop Linux verso una macchina Windows, desktop remoto da Linux a Windows illustra i client RDP.

Mettilo in sicurezza: Kali è un bersaglio

Un server che espone SSH viene scansionato nel giro di pochi minuti, e un server pieno di codice di exploit vale di più per chi lo trova. Tratta la macchina come esposta a un ambiente ostile fin dal primo avvio.

• Usa un firewall in default-deny. Kali non ne attiva uno al posto tuo. Consenti solo ciò che usi davvero.

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable

• Sapere cosa è in ascolto. Ogni porta aperta è superficie d’attacco, quindi verificala con i comandi per controllare le porte aperte in Linux e chiudi tutto ciò che non volevi esporre.
• Non lavorare come root. Kali crea un utente normale kali durante l’installazione; usalo e ricorri a sudo solo quando uno strumento ne ha davvero bisogno.
• Tieni aggiornata la rolling release. Rolling significa aggiornamenti frequenti e a volte corposi: esegui regolarmente sudo apt update && sudo apt full-upgrade -y.
• Tieni VNC e xRDP fuori dall’interfaccia pubblica. Vincolali a localhost e usa un tunnel SSH, come sopra. Cambiare la porta di un servizio è offuscamento, non sicurezza — non nasconde nulla a una scansione seria.

Quanta CPU, RAM e disco servono?

Kali scala in base a ciò che installi. Un set di strumenti headless via SSH è leggero; un desktop più tooling pesante per applicazioni web non lo è. Le indicazioni di Kali, come punto di partenza:

Il disco si riempie più in fretta di quanto pensi una volta che kali-linux-large e gli aggiornamenti rolling si accumulano, quindi lasciati margine. Due vCPU dedicate coprono la maggior parte dei compiti; il cracking di password e il fuzzing useranno tutto ciò che dai loro. Sono linee guida, non benchmark: dimensiona in base al tuo set di strumenti reale.

Resta nella legalità: solo test autorizzati

Gli strumenti di Kali sono legali da possedere e da usare; usarli contro sistemi che non ti appartengono o per cui non hai un’autorizzazione scritta non lo è. Scansionare, sfruttare vulnerabilità o fare brute force su infrastrutture di terzi può violare le leggi sull’accesso abusivo a sistemi informatici, sia dove ti trovi tu sia dove si trova il bersaglio, e le condizioni d’uso di ogni provider serio (rdp.monster inclusa) vietano di usare un server per attaccare altri. Tieni il tuo lavoro dentro il tuo laboratorio, un incarico con un cliente e uno scope firmato, oppure un CTF o un poligono di addestramento autorizzato. L’attività non autorizzata porta alla sospensione del server e può comportare responsabilità penale; non esiste una zona grigia che valga il rischio.

Tutto questo presuppone una macchina su cui hai pieno accesso root e che puoi ricostruire senza chiedere il permesso a nessuno. Un VPS Linux di rdp.monster risponde a questa esigenza: accesso root completo, CPU e RAM dedicate, banda illimitata (fair-use), nessun KYC, pagamento in cripto o in valuta tradizionale, da $8.99 al mese, e il server è online circa 10 secondi dopo la conferma del pagamento. Distribuisci Debian, aggiungi kali-rolling e kali-linux-headless, metti in sicurezza SSH e avrai una macchina da pentest usa e getta che puoi cancellare e ridistribuire alla fine di ogni incarico.

Domande frequenti

Posso installare Kali Linux su qualsiasi provider VPS?

Va bene quasi ogni host, purché dia root completo e un’immagine Kali o una base Debian da convertire.

Quasi tutti gli host VPS permettono di far girare Kali in un modo o nell’altro. Alcuni la elencano direttamente nel loro catalogo di sistemi operativi. Dove non lo fanno, di solito puoi avviare un sistema di rescue e scrivere su disco l’immagine generica di Kali, montare la ISO del netinstaller, oppure partire da Debian e aggiungere il repository kali-rolling. Ti servono root completo e, idealmente, accesso alla console o alla modalità rescue. I piani completamente gestiti o condivisi che bloccano il sistema operativo non funzionano.

Kali Linux è un buon sistema operativo server per l’uso quotidiano?

No, Kali è una distribuzione di sicurezza specializzata, non un sistema operativo server generalista.

Kali è costruita e mantenuta per il penetration testing e la forensics, e la sua stessa documentazione sconsiglia di usarla come desktop generalista o di aggiungerci software non correlato. Per ospitare un sito, un database o un’applicazione, un server Debian o Ubuntu standard è una base migliore: stabile, ampiamente documentato e supportato da ogni pannello di controllo. Tieni Kali dedicata a un solo scopo: una macchina di strumenti che accendi per un incarico e ricostruisci dopo, separata da qualsiasi cosa in produzione.

Serve una GUI o posso usare Kali interamente via SSH?

La maggior parte degli strumenti Kali è a riga di comando, quindi un VPS headless via SSH basta per la maggior parte dei compiti.

Il grosso degli strumenti di Kali (nmap, hydra, sqlmap, hashcat e gli altri) è a riga di comando, quindi un’installazione headless raggiunta via SSH copre quasi tutti i flussi di lavoro e usa molta meno RAM e molto meno disco. Installa kali-linux-headless e salta il desktop. Aggiungi Xfce con un server VNC o xRDP solo per la manciata di strumenti grafici come Burp Suite, e incapsula quel desktop in un tunnel SSH invece di esporlo a internet.

Come si tiene aggiornato un VPS Kali?

Kali è una rolling release: esegui regolarmente apt update e full-upgrade.

Kali segue il ramo kali-rolling, il che significa che i pacchetti si aggiornano di continuo invece che in release fisse. Mantieni il sistema aggiornato con sudo apt update && sudo apt full-upgrade -y, da eseguire ogni una o due settimane. Poiché è rolling, gli aggiornamenti sono a volte corposi e ogni tanto introducono nuove versioni delle librerie, quindi non lanciare una scansione critica subito dopo un upgrade non testato. Rigenera il keyring dell’archivio con sudo apt install -y kali-archive-keyring se compaiono errori di firma.