VPS com Kali Linux: instalar, acessar e proteger

Três formas de rodar o Kali Linux em um VPS

O Kali é uma distribuição derivada do Debian criada para trabalho de segurança ofensiva, não um sistema de desktop de uso geral. O próprio projeto afirma isso e desaconselha acoplar software sem relação com a proposta. Em um VPS, isso molda as suas escolhas. Há três caminhos práticos, aproximadamente na ordem de quanto o resultado fica limpo:

• Uma imagem do provedor. Se o seu host lista o Kali no catálogo de sistemas ou no marketplace, implante-a e vá direto ao acesso e ao endurecimento. Menos peças em movimento.
• A imagem genérica do próprio Kali. Quando o Kali não é oferecido, inicie o VPS no sistema de resgate do provedor e grave a imagem oficial genérica/cloud do Kali no disco com dd, depois reinicie nela. Isso resulta em uma instalação Kali real e suportada.
• Converter uma base Debian. Comece por um VPS Debian puro e adicione o repositório kali-rolling. É a opção menos suportada (o Kali desaconselha misturar repositórios), mas serve bem para uma máquina de ferramentas dedicada que você esteja disposto a reinstalar.

Existe também a instalação via rede: o netinstaller do Kali (um pequeno mini.iso) baixa tudo pela rede, o que combina com um VPS que permite anexar uma ISO personalizada. E se você quer apenas as ferramentas, e não um novo sistema operacional, pule tudo isso e baixe a imagem de contêiner, descrita abaixo.

Adicionar o repositório kali-rolling a um VPS Debian

O caminho de conversão a partir do Debian é o mais usado na prática, porque quase todo host oferece Debian. Importe a chave de assinatura do Kali, registre o repositório com signed-by e depois instale o pacote de chaveiro e um metapacote de ferramentas:

sudo apt update && sudo apt install -y wget gnupg
wget -qO - https://archive.kali.org/archive-key.asc \
  | sudo gpg --dearmor -o /usr/share/keyrings/kali-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/kali-archive-keyring.gpg] \
http://http.kali.org/kali kali-rolling main contrib non-free non-free-firmware" \
  | sudo tee /etc/apt/sources.list.d/kali.list
sudo apt update
sudo apt install -y kali-archive-keyring kali-linux-headless

Duas ressalvas honestas. O Kali é um lançamento rolling, portanto misturar os seus pacotes com o Debian estável pode trazer bibliotecas mais recentes do que o resto do sistema espera. Mantenha a máquina dedicada a um só propósito. E se tudo o que você quer são as ferramentas, como rodar um scanner ou quebrar um hash em laboratório, a opção mais limpa é o contêiner oficial, que nunca toca no sistema do host:

sudo apt install -y docker.io
sudo docker run -it kalilinux/kali-rolling /bin/bash
# inside the container:
apt update && apt install -y kali-linux-headless

Escolha um conjunto de ferramentas: os metapacotes do Kali

O Kali divide as suas ferramentas em metapacotes para que você instale apenas o necessário. Em um VPS headless você quase nunca vai querer todo o conjunto gráfico. Os mais comuns:

Instale com sudo apt install -y kali-linux-headless. Você sempre pode adicionar ferramentas individuais pelo nome mais tarde: não há motivo para baixar um metapacote enorme só para obter um utilitário.

Acesse por SSH e adicione um desktop só se for indispensável

O Kali inclui o openssh-server, mas deixa o serviço desativado por padrão, o que é a decisão certa. Ative-o e proteja-o antes de deixar a porta exposta:

sudo systemctl enable --now ssh
systemctl status ssh

Os passos que realmente importam (login por chave, PasswordAuthentication no, sem login de root, fail2ban) são os mesmos no Kali e em qualquer sistema baseado em Debian; o passo a passo em ativar o SSH e endurecê-lo no Ubuntu se aplica quase literalmente. A maior parte do trabalho no Kali é em linha de comando, portanto uma máquina headless por SSH costuma bastar.

Quando você realmente precisar do desktop Xfce (Burp Suite, um navegador, ferramentas gráficas), não o exponha à internet. Instale um ambiente gráfico e um servidor VNC e depois tunele-o por SSH:

sudo apt install -y kali-desktop-xfce tigervnc-standalone-server
vncserver :1 -localhost          # bind to localhost only
# from your own machine, open the tunnel:
ssh -L 5901:localhost:5901 kali@SERVER_IP

Aponte o seu cliente VNC para localhost:5901. O xRDP funciona da mesma forma: instale-o, mantenha a porta 3389 bloqueada no firewall e encaminhe a porta com ssh -L 3390:localhost:3389 kali@SERVER_IP. Se você estiver indo no sentido contrário, de um desktop Linux para uma máquina Windows, área de trabalho remota do Linux para o Windows cobre os clientes RDP.

Endureça a máquina: o Kali é um alvo

Um servidor que anuncia SSH é escaneado em minutos, e um servidor cheio de código de exploração vale mais para quem o encontrar. Trate a máquina como exposta a hostilidade desde a primeira inicialização.

• Use um firewall com negação por padrão. O Kali não ativa nenhum por você. Libere apenas o que utiliza.

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable

• Saiba o que está escutando. Cada porta aberta é superfície de ataque, por isso audite com os comandos para verificar portas abertas no Linux e feche tudo o que você não pretendia expor.
• Não trabalhe como root. O Kali cria um usuário comum kali durante a instalação; use-o e recorra ao sudo apenas quando uma ferramenta realmente precisar.
• Mantenha o rolling release atualizado. Rolling significa atualizações frequentes e por vezes grandes: rode sudo apt update && sudo apt full-upgrade -y com regularidade.
• Mantenha VNC e xRDP fora da interface pública. Faça o bind em localhost e tunele por SSH, como acima. Mudar a porta de um serviço é ofuscação, não segurança — não esconde nada de uma varredura de verdade.

Quanto de CPU, RAM e disco ele precisa?

O Kali escala conforme o que você instala. Um conjunto headless acessado por SSH é leve; um desktop somado a ferramentas pesadas de aplicações web não é. As recomendações do próprio Kali, como ponto de partida:

O disco enche mais rápido do que se espera assim que o kali-linux-large e as atualizações contínuas se acumulam, então deixe folga. Duas vCPUs dedicadas dão conta da maioria das tarefas; quebra de senhas e fuzzing vão usar tudo o que você der. São diretrizes, não benchmarks: dimensione conforme o seu conjunto real de ferramentas.

Mantenha-se na legalidade: apenas testes autorizados

É legal ter e executar as ferramentas do Kali; usá-las contra sistemas que você não possui ou para os quais não tem autorização por escrito não é. Escanear, explorar ou fazer força bruta contra infraestrutura de terceiros pode violar a legislação de crimes informáticos onde você ou o alvo estiverem, e a política de uso aceitável de qualquer provedor sério (incluindo a rdp.monster) proíbe usar um servidor para atacar terceiros. Mantenha o trabalho dentro do seu próprio laboratório, de um contrato com escopo assinado, ou de um CTF ou campo de treino autorizado. Atividade não autorizada leva à suspensão do servidor e pode gerar responsabilidade criminal; não há zona cinzenta que valha o risco.

Tudo isso pressupõe uma máquina em que você tem root completo e pode reconstruir sem pedir nada a ninguém. Um VPS Linux da rdp.monster se encaixa nesse formato: acesso root completo, CPU e RAM dedicadas, banda ilimitada (fair-use), sem KYC, pagamento em cripto ou moeda tradicional, a partir de $8.99 por mês, e o servidor fica online cerca de 10 segundos após a confirmação do pagamento. Implante o Debian, adicione kali-rolling e kali-linux-headless, endureça o SSH, e você terá uma máquina de pentest descartável que pode apagar e reimplantar sempre que um trabalho terminar.

Perguntas frequentes

Posso instalar o Kali Linux em qualquer provedor de VPS?

Quase qualquer host serve, desde que ofereça root completo e uma imagem Kali ou uma base Debian para converter.

A maioria dos hosts de VPS permite rodar o Kali de uma forma ou de outra. Alguns o listam diretamente no catálogo de sistemas. Quando não listam, normalmente dá para iniciar em um sistema de resgate e gravar a imagem genérica do Kali no disco, anexar a ISO do netinstaller, ou partir do Debian e adicionar o repositório kali-rolling. O que você precisa é de root completo e, de preferência, acesso ao console ou ao modo de resgate. Planos totalmente gerenciados ou compartilhados que travam o sistema não servem.

O Kali Linux é um bom sistema de servidor para o dia a dia?

Não, o Kali é uma distribuição de segurança especializada, não um sistema de servidor de uso geral.

O Kali é construído e mantido para testes de intrusão e perícia forense, e a sua própria documentação desaconselha usá-lo como desktop de uso geral ou instalar software sem relação com isso. Para hospedar um site, um banco de dados ou uma aplicação, um servidor Debian ou Ubuntu padrão é a melhor base: estável, amplamente documentado e suportado por todos os painéis de controle. Mantenha o Kali dedicado a um só propósito: uma máquina de ferramentas que você sobe para um trabalho e reconstrói depois, separada de qualquer coisa em produção.

Preciso de interface gráfica ou posso usar o Kali inteiramente por SSH?

A maioria das ferramentas do Kali é de linha de comando, então um VPS headless por SSH basta para a maior parte das tarefas.

O grosso das ferramentas do Kali (nmap, hydra, sqlmap, hashcat e as demais) é de linha de comando, portanto uma instalação headless acessada por SSH cobre a maioria dos fluxos de trabalho e consome bem menos RAM e disco. Instale kali-linux-headless e dispense o desktop. Adicione o Xfce com um servidor VNC ou xRDP apenas para o punhado de ferramentas gráficas como o Burp Suite, e tunele essa área de trabalho por SSH em vez de expô-la à internet.

Como mantenho um VPS com Kali atualizado?

O Kali é um rolling release; rode apt update e full-upgrade com regularidade.

O Kali segue o ramo kali-rolling, o que significa que os pacotes são atualizados continuamente em vez de em versões fixas. Mantenha o sistema em dia com sudo apt update && sudo apt full-upgrade -y, executado a cada uma ou duas semanas. Por ser rolling, as atualizações às vezes são grandes e ocasionalmente trazem novas versões de bibliotecas, então não rode uma varredura crítica logo depois de uma atualização não testada. Renove o chaveiro do repositório com sudo apt install -y kali-archive-keyring se aparecerem erros de assinatura.