Kali Linux na VPS: instalacja, dostęp i utwardzanie

Trzy sposoby na uruchomienie Kali Linux na VPS

Kali to dystrybucja oparta na Debianie, zbudowana do pracy z bezpieczeństwem ofensywnym, a nie do codziennego użytku. Sam projekt to podkreśla i odradza doinstalowywanie niezwiązanego oprogramowania. Na VPS-ie ma to bezpośredni wpływ na wybór. Masz trzy praktyczne drogi, mniej więcej w kolejności od najczystszego rezultatu:

• Obraz od dostawcy. Jeśli Twój host wymienia Kali w katalogu systemów lub w marketplace, wdroż go i przejdź od razu do dostępu i utwardzania. Najmniej ruchomych elementów.
• Własny obraz generyczny Kali. Gdy Kali nie jest oferowane, uruchom VPS-a w systemie ratunkowym dostawcy i zapisz oficjalny obraz generyczny/chmurowy Kali na dysk poleceniem dd, a potem uruchom system ponownie. Otrzymujesz prawdziwą, wspieraną instalację Kali.
• Konwersja bazy Debiana. Zacznij od zwykłego VPS-a z Debianem i dodaj repozytorium kali-rolling. To opcja najsłabiej wspierana (Kali odradza mieszanie repozytoriów), ale sprawdza się przy dedykowanej maszynie narzędziowej, którą bez żalu postawisz od nowa.

Jest jeszcze instalacja sieciowa: netinstaller Kali (mały plik mini.iso) pobiera wszystko przez sieć, co pasuje do VPS-a pozwalającego podłączyć własny obraz ISO. A jeśli zależy Ci tylko na narzędziach, a nie na nowym systemie operacyjnym, pomiń to wszystko i pobierz obraz kontenera, opisany niżej.

Dodanie repozytorium kali-rolling do VPS-a z Debianem

Konwersja z Debiana to wariant, po który sięga większość osób, bo Debiana oferuje niemal każdy host. Zaimportuj klucz podpisujący Kali, zarejestruj repozytorium z signed-by, a następnie zainstaluj pakiet keyring i metapakiet z zestawem narzędzi:

sudo apt update && sudo apt install -y wget gnupg
wget -qO - https://archive.kali.org/archive-key.asc \
  | sudo gpg --dearmor -o /usr/share/keyrings/kali-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/kali-archive-keyring.gpg] \
http://http.kali.org/kali kali-rolling main contrib non-free non-free-firmware" \
  | sudo tee /etc/apt/sources.list.d/kali.list
sudo apt update
sudo apt install -y kali-archive-keyring kali-linux-headless

Dwa uczciwe zastrzeżenia. Kali to wydanie rolling, więc mieszanie jego pakietów z Debianem stable może wciągnąć nowsze biblioteki niż te, których oczekuje reszta systemu. Trzymaj maszynę przy jednym zadaniu. A jeśli chodzi Ci wyłącznie o narzędzia, na przykład uruchomienie skanera albo łamanie skrótu w laboratorium, najczystszym rozwiązaniem jest oficjalny kontener, który w ogóle nie dotyka systemu hosta:

sudo apt install -y docker.io
sudo docker run -it kalilinux/kali-rolling /bin/bash
# inside the container:
apt update && apt install -y kali-linux-headless

Wybór zestawu narzędzi: metapakiety Kali

Kali dzieli narzędzia na metapakiety, dzięki czemu instalujesz tylko to, czego potrzebujesz. Na VPS-ie bez pulpitu prawie nigdy nie chcesz pełnego zestawu graficznego. Najczęstsze warianty:

Instalacja: sudo apt install -y kali-linux-headless. Pojedyncze narzędzia zawsze możesz dodać później po nazwie. Nie ma potrzeby ściągać dużego metapakietu dla jednego programu.

Dostęp przez SSH, pulpit tylko w razie konieczności

Kali dostarcza openssh-server, ale domyślnie pozostawia usługę wyłączoną, i słusznie. Włącz ją, a potem zabezpiecz, zanim zostawisz port wystawiony:

sudo systemctl enable --now ssh
systemctl status ssh

Kroki, które naprawdę mają znaczenie (logowanie kluczem, PasswordAuthentication no, brak logowania na roota, fail2ban), są w Kali takie same jak w każdym systemie opartym na Debianie; poradnik włączania SSH i jego utwardzania w Ubuntu stosuje się niemal dosłownie. Większość pracy w Kali odbywa się w wierszu poleceń, więc maszyna bez pulpitu, obsługiwana przez SSH, zwykle w zupełności wystarcza.

Gdy jednak potrzebujesz pulpitu Xfce (Burp Suite, przeglądarka, narzędzia GUI), nie wystawiaj go do internetu. Zainstaluj środowisko graficzne i serwer VNC, a następnie tuneluj połączenie przez SSH:

sudo apt install -y kali-desktop-xfce tigervnc-standalone-server
vncserver :1 -localhost          # bind to localhost only
# from your own machine, open the tunnel:
ssh -L 5901:localhost:5901 kali@SERVER_IP

Skieruj klienta VNC na localhost:5901. xRDP działa tak samo: zainstaluj go, trzymaj port 3389 za zaporą i przekaż go poleceniem ssh -L 3390:localhost:3389 kali@SERVER_IP. Jeśli idziesz w drugą stronę, z pulpitu Linux do maszyny Windows, artykuł pulpit zdalny z Linuksa do Windows opisuje klientów RDP.

Utwardź system: Kali jest celem

Serwer ogłaszający SSH jest skanowany w ciągu kilku minut, a serwer pełen kodu exploitów jest dla znalazcy wart więcej. Traktuj tę maszynę jako wystawioną na wrogie środowisko od pierwszego uruchomienia.

• Używaj zapory z domyślną odmową. Kali nie włączy jej za Ciebie. Zezwól tylko na to, czego używasz.

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable

• Wiedz, co nasłuchuje. Każdy otwarty port to powierzchnia ataku. Skontroluj ją z pomocą poleceń do sprawdzania otwartych portów w Linuksie i zamknij wszystko, czego nie zamierzałeś wystawiać.
• Nie pracuj jako root. Kali tworzy podczas instalacji zwykłego użytkownika kali; korzystaj z niego, a po sudo sięgaj tylko wtedy, gdy narzędzie naprawdę tego wymaga.
• Utrzymuj wydanie rolling na bieżąco. Rolling oznacza częste, czasem duże aktualizacje: regularnie uruchamiaj sudo apt update && sudo apt full-upgrade -y.
• Trzymaj VNC i xRDP poza interfejsem publicznym. Binduj do localhost i tuneluj przez SSH, jak wyżej. Zmiana portu usługi to zaciemnianie, nie zabezpieczenie: przed prawdziwym skanem nic nie ukryje.

Ile CPU, RAM-u i dysku potrzeba?

Kali skaluje się wraz z tym, co zainstalujesz. Zestaw bez pulpitu obsługiwany przez SSH jest lekki; pulpit plus ciężkie narzędzia do aplikacji webowych już nie. Wskazówki samego projektu Kali, jako punkt wyjścia:

Dysk zapełnia się szybciej, niż przypuszczasz, gdy kali-linux-large i aktualizacje rolling się nawarstwiają, więc zostaw sobie zapas. Dwa dedykowane vCPU poradzą sobie z większością zadań; łamanie haseł i fuzzing zużyją wszystko, co im dasz. To wskazówki, nie benchmarki. Dobierz rozmiar do swojego rzeczywistego zestawu narzędzi.

Działaj legalnie: tylko autoryzowane testy

Posiadanie i uruchamianie narzędzi Kali jest legalne; używanie ich przeciwko systemom, które nie należą do Ciebie lub na których testy nie masz pisemnej zgody, już nie. Skanowanie, wykorzystywanie podatności czy atak siłowy na cudzą infrastrukturę może naruszać przepisy o nadużyciach komputerowych zarówno w Twoim kraju, jak i w kraju celu, a regulamin każdego poważnego dostawcy (w tym rdp.monster) zabrania wykorzystywania serwera do ataków. Pracuj wyłącznie we własnym laboratorium, w ramach zlecenia z podpisanym zakresem albo na dozwolonym CTF lub poligonie szkoleniowym. Nieautoryzowana aktywność kończy się zawieszeniem serwera i może pociągnąć odpowiedzialność karną; nie ma tu szarej strefy wartej ryzyka.

Wszystko to zakłada maszynę, na której masz pełnego roota i możesz ją odtworzyć bez pytania kogokolwiek o zgodę. VPS z Linuksem od rdp.monster pasuje do tego opisu: pełny dostęp root, dedykowany CPU i RAM, nielimitowany transfer (fair-use), bez KYC, płatność kryptowalutami lub walutą fiat, od $8.99 miesięcznie, a serwer jest online około 10 sekund po potwierdzeniu płatności. Wdróż Debiana, dodaj kali-rolling i kali-linux-headless, utwardź SSH i masz jednorazową maszynę do pentestów, którą wyczyścisz i postawisz od nowa po każdym zleceniu.

Najczęściej zadawane pytania

Czy mogę zainstalować Kali Linux u dowolnego dostawcy VPS?

Niemal każdy host się nada, jeśli daje pełnego roota oraz obraz Kali albo bazę Debiana do konwersji.

Większość dostawców VPS pozwala uruchomić Kali w ten czy inny sposób. Niektórzy wymieniają go wprost w katalogu systemów. Tam, gdzie go nie ma, zwykle można uruchomić system ratunkowy i zapisać na dysk obraz generyczny Kali, podłączyć ISO netinstallera albo zacząć od Debiana i dodać repozytorium kali-rolling. Potrzebujesz pełnego roota i najlepiej dostępu do konsoli lub trybu ratunkowego. W pełni zarządzane lub współdzielone plany, które blokują system, nie zadziałają.

Czy Kali Linux nadaje się na codzienny system serwerowy?

Nie, Kali to wyspecjalizowana dystrybucja bezpieczeństwa, a nie system serwerowy ogólnego przeznaczenia.

Kali jest budowane i utrzymywane z myślą o testach penetracyjnych i informatyce śledczej, a jego własna dokumentacja odradza używanie go jako ogólnego systemu biurkowego czy doinstalowywanie niezwiązanego oprogramowania. Do hostowania strony, bazy danych czy aplikacji lepszą bazą jest standardowy serwer Debian lub Ubuntu: stabilny, szeroko udokumentowany i wspierany przez każdy panel. Trzymaj Kali przy jednym zadaniu, jako maszynę narzędziową, którą stawiasz na czas zlecenia i odtwarzasz później, z dala od produkcji.

Czy potrzebuję GUI, czy mogę obsługiwać Kali w całości przez SSH?

Większość narzędzi Kali działa w wierszu poleceń, więc VPS bez pulpitu, obsługiwany przez SSH, wystarcza do większości zadań.

Większość narzędzi Kali (nmap, hydra, sqlmap, hashcat i reszta) działa w wierszu poleceń, więc instalacja bez pulpitu obsługiwana przez SSH pokrywa większość scenariuszy i zużywa znacznie mniej RAM-u i dysku. Zainstaluj kali-linux-headless i pomiń środowisko graficzne. Xfce z serwerem VNC lub xRDP dodawaj tylko dla nielicznych narzędzi GUI, takich jak Burp Suite, i tuneluj taki pulpit przez SSH zamiast wystawiać go do internetu.

Jak utrzymywać VPS z Kali w aktualnej wersji?

Kali to wydanie rolling; regularnie uruchamiaj apt update i full-upgrade.

Kali podąża za gałęzią kali-rolling, co oznacza, że pakiety aktualizują się ciągle, a nie w stałych wydaniach. Utrzymuj system na bieżąco poleceniem sudo apt update && sudo apt full-upgrade -y, uruchamianym co tydzień lub dwa. Ponieważ wydanie jest rolling, aktualizacje bywają duże i czasem wciągają nowe wersje bibliotek, więc nie uruchamiaj krytycznego skanu zaraz po nieprzetestowanej aktualizacji. Jeśli pojawią się błędy podpisów, odśwież keyring poleceniem sudo apt install -y kali-archive-keyring.