Kali Linux на VPS: установка, доступ и защита

Три способа запустить Kali Linux на VPS

Kali является дистрибутивом на базе Debian, созданным для наступательной безопасности, а не для повседневной работы: сам проект прямо об этом пишет и предостерегает от установки постороннего софта. На VPS это определяет ваш выбор. Есть три практических пути, примерно в порядке чистоты результата:

• Образ провайдера. Если хостер указывает Kali в каталоге ОС или в маркетплейсе, разверните его и сразу переходите к доступу и укреплению системы. Минимум движущихся частей.
• Собственный универсальный образ Kali. Если Kali не предлагается, загрузите VPS в rescue-систему провайдера, запишите официальный generic/cloud-образ Kali на диск с помощью dd и перезагрузитесь в него. Так вы получите настоящую поддерживаемую установку Kali.
• Преобразование базового Debian. Начните с обычного Debian-сервера и добавьте репозиторий kali-rolling. Это наименее поддерживаемый вариант (Kali не рекомендует смешивать репозитории), но он вполне годится для выделенной машины с инструментами, которую не жалко переустановить.

Есть и сетевая установка: netinstaller Kali (небольшой mini.iso) скачивает всё по сети, что удобно для VPS с возможностью подключить свой ISO. А если вам нужны только инструменты, а не новая операционная система, пропустите всё это и возьмите контейнерный образ (о нём ниже).

Подключение репозитория kali-rolling к Debian-серверу

Вариант с преобразованием Debian выбирают чаще всего, потому что Debian есть практически у любого хостера. Импортируйте подписной ключ Kali, зарегистрируйте репозиторий с параметром signed-by, затем установите пакет keyring и метапакет с набором инструментов:

sudo apt update && sudo apt install -y wget gnupg
wget -qO - https://archive.kali.org/archive-key.asc \
  | sudo gpg --dearmor -o /usr/share/keyrings/kali-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/kali-archive-keyring.gpg] \
http://http.kali.org/kali kali-rolling main contrib non-free non-free-firmware" \
  | sudo tee /etc/apt/sources.list.d/kali.list
sudo apt update
sudo apt install -y kali-archive-keyring kali-linux-headless

Две честные оговорки. Kali является rolling-релизом, поэтому смешивание его пакетов с Debian stable может подтянуть библиотеки новее, чем ожидает остальная система: держите машину узкоспециализированной. А если вам нужны только инструменты (например, запустить сканер или подобрать хеш в лаборатории), чище всего взять официальный контейнер, который вообще не трогает основную ОС:

sudo apt install -y docker.io
sudo docker run -it kalilinux/kali-rolling /bin/bash
# inside the container:
apt update && apt install -y kali-linux-headless

Выбор набора инструментов: метапакеты Kali

Kali делит инструменты на метапакеты, чтобы вы ставили только нужное. На headless-сервере полный графический набор почти никогда не нужен. Наиболее ходовые:

Установка выполняется командой sudo apt install -y kali-linux-headless. Отдельные инструменты всегда можно добавить по имени позже. Тянуть большой метапакет ради одной утилиты незачем.

Доступ по SSH и графика только при необходимости

В Kali есть openssh-server, но служба по умолчанию отключена, и это правильно. Включите её, а затем закройте всё лишнее, прежде чем оставлять порт открытым:

sudo systemctl enable --now ssh
systemctl status ssh

Действительно важные шаги (вход по ключу, PasswordAuthentication no, запрет входа под root, fail2ban) в Kali те же, что и в любой системе на базе Debian; руководство по включению и укреплению SSH в Ubuntu применимо практически дословно. Большая часть работы в Kali консольная, поэтому headless-машины по SSH обычно достаточно.

Если же рабочий стол Xfce действительно нужен (Burp Suite, браузер, графические инструменты), не выставляйте его в интернет. Установите окружение и VNC-сервер, затем пробросьте его через SSH:

sudo apt install -y kali-desktop-xfce tigervnc-standalone-server
vncserver :1 -localhost          # bind to localhost only
# from your own machine, open the tunnel:
ssh -L 5901:localhost:5901 kali@SERVER_IP

Направьте VNC-клиент на localhost:5901. С xRDP всё так же: установите его, оставьте порт 3389 закрытым фаерволом и пробросьте его командой ssh -L 3390:localhost:3389 kali@SERVER_IP. Если вам нужно обратное направление (с Linux-десктопа на машину с Windows), о клиентах RDP рассказано в статье удалённый рабочий стол из Linux в Windows.

Укрепите систему: Kali сама является мишенью

Сервер с открытым SSH сканируют через считаные минуты, а сервер, набитый эксплойтами, представляет для нашедшего куда большую ценность. Считайте машину открытой враждебной среде с первой же загрузки.

• Используйте фаервол с политикой default-deny. Kali не включает его за вас. Разрешайте только то, чем пользуетесь.

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable

• Знайте, что слушает порты. Каждый открытый порт является поверхностью атаки: проверьте их с помощью команд для проверки открытых портов в Linux и закройте всё, что не собирались выставлять наружу.
• Не работайте под root. При установке Kali создаёт обычного пользователя kali: работайте под ним и обращайтесь к sudo, только когда инструменту это действительно нужно.
• Держите rolling-релиз в актуальном состоянии. Rolling означает частые, иногда объёмные обновления: регулярно выполняйте sudo apt update && sudo apt full-upgrade -y.
• Не выпускайте VNC и xRDP на публичный интерфейс. Привязывайте их к localhost и пробрасывайте через SSH, как показано выше. Смена порта службы является маскировкой, а не защитой: от реального сканирования она не скрывает ничего.

Сколько нужно CPU, RAM и диска?

Требования Kali зависят от того, что вы установите. Headless-набор по SSH нетребователен; рабочий стол плюс тяжёлые инструменты для веб-приложений — уже нет. Рекомендации самого проекта Kali как отправная точка:

Диск заполняется быстрее, чем кажется, как только накапливаются kali-linux-large и обновления rolling-ветки, так что берите запас. Двух выделенных vCPU хватает для большинства задач; подбор паролей и фаззинг съедят всё, что вы им отдадите. Это ориентиры, а не результаты тестов. Подбирайте размер под свой реальный набор инструментов.

Оставайтесь в правовом поле: только санкционированное тестирование

Владеть инструментами Kali и запускать их законно; применять их к системам, которыми вы не владеете и на тестирование которых нет письменного разрешения, незаконно. Сканирование, эксплуатация уязвимостей или перебор паролей на чужой инфраструктуре могут нарушать законы о неправомерном доступе к компьютерной информации как в вашей стране, так и в стране цели, а правила допустимого использования любого добросовестного провайдера (включая rdp.monster) запрещают применять сервер для атак. Работайте в своей лаборатории, в рамках клиентского проекта с подписанным скоупом либо на легальном CTF или тренировочном полигоне. За несанкционированную активность сервер блокируют, а последствия могут быть уголовными; серых зон, ради которых стоило бы рисковать, здесь нет.

Всё это предполагает машину, где у вас полный root и которую вы можете пересобрать, ни у кого не спрашивая. Linux VPS от rdp.monster подходит под эту задачу: полный root-доступ, выделенные CPU и RAM, безлимитный трафик (fair-use), без KYC, оплата криптовалютой или фиатом, от $8.99 в месяц, а сервер готов примерно через 10 секунд после подтверждения платежа. Разверните Debian, добавьте kali-rolling и kali-linux-headless, укрепите SSH, и у вас есть одноразовая машина для пентеста, которую можно стереть и развернуть заново по окончании любого проекта.

Часто задаваемые вопросы

Можно ли установить Kali Linux у любого VPS-провайдера?

Подойдёт почти любой хостер, если он даёт полный root и либо образ Kali, либо базовый Debian для преобразования.

У большинства VPS-хостеров Kali так или иначе запускается. Некоторые указывают её прямо в каталоге ОС. Если нет, обычно можно загрузиться в rescue-систему и записать универсальный образ Kali на диск, подключить ISO нетинсталлятора либо начать с Debian и добавить репозиторий kali-rolling. Нужны полный root и, желательно, доступ к консоли или режиму восстановления. Полностью управляемые или шаред-тарифы с закрытой ОС не подойдут.

Подходит ли Kali Linux как повседневная серверная ОС?

Нет, Kali является специализированным дистрибутивом для безопасности, а не универсальной серверной ОС.

Kali создаётся и поддерживается для тестирования на проникновение и форензики, и её собственная документация предостерегает от использования в качестве обычного десктопа и от установки постороннего софта. Для хостинга сайта, базы данных или приложения лучше подходит стандартный сервер Debian или Ubuntu: стабильный, хорошо документированный и поддерживаемый любой панелью управления. Держите Kali узкоспециализированной: это машина с инструментами, которую поднимают под проект и пересобирают после, отдельно от всего продакшена.

Нужна ли графика или Kali можно вести целиком по SSH?

Большинство инструментов Kali консольные, поэтому для основной массы задач хватает headless-сервера по SSH.

Основная часть инструментов Kali (nmap, hydra, sqlmap, hashcat и остальные) консольные, поэтому headless-установка с доступом по SSH покрывает большинство сценариев и требует гораздо меньше RAM и диска. Установите kali-linux-headless и обойдитесь без рабочего стола. Добавляйте Xfce с сервером VNC или xRDP только ради нескольких графических инструментов вроде Burp Suite и пробрасывайте этот рабочий стол через SSH, а не выставляйте в интернет.

Как поддерживать Kali VPS в актуальном состоянии?

Kali является rolling-релизом; регулярно выполняйте apt update и full-upgrade.

Kali следует ветке kali-rolling: пакеты обновляются непрерывно, а не фиксированными выпусками. Держите систему в актуальном состоянии командой sudo apt update && sudo apt full-upgrade -y, выполняя её раз в одну-две недели. Из-за rolling-модели обновления иногда бывают объёмными и приносят новые версии библиотек, поэтому не запускайте важное сканирование сразу после непроверенного апгрейда. Если появляются ошибки подписи, обновите keyring командой sudo apt install -y kali-archive-keyring.