VPS Kali Linux: cài đặt, truy cập và bảo mật

Ba cách chạy Kali Linux trên VPS

Kali là bản phân phối dựa trên Debian, được xây dựng cho công việc bảo mật tấn công, không phải hệ điều hành desktop thông thường. Chính dự án cũng nói vậy và khuyên không nên cài thêm phần mềm không liên quan. Trên VPS, điều đó quyết định lựa chọn của bạn. Có ba cách thực tế, xếp gần đúng theo mức độ gọn gàng của kết quả:

• Image của nhà cung cấp. Nếu nhà cung cấp có Kali trong danh mục hệ điều hành hoặc marketplace, hãy triển khai nó và chuyển thẳng sang phần truy cập và bảo mật. Ít khâu nhất.
• Image generic của chính Kali. Khi không có sẵn Kali, hãy khởi động VPS vào hệ thống rescue của nhà cung cấp và ghi image generic/cloud chính thức của Kali lên đĩa bằng dd, rồi khởi động lại vào đó. Cách này cho bạn một bản cài Kali thật, được hỗ trợ chính thức.
• Chuyển đổi từ nền Debian. Bắt đầu từ một VPS Debian thuần và thêm kho kali-rolling. Đây là phương án ít được hỗ trợ nhất (Kali không khuyến khích trộn các kho), nhưng ổn cho một máy chỉ chứa công cụ mà bạn sẵn sàng cài lại.

Ngoài ra còn cách cài qua mạng: netinstaller của Kali (một file mini.iso nhỏ) tải mọi thứ qua mạng, phù hợp với VPS cho phép gắn ISO tùy chỉnh. Còn nếu bạn chỉ muốn có công cụ, không cần một hệ điều hành mới, hãy bỏ qua tất cả và kéo image container về, như hướng dẫn bên dưới.

Thêm kho kali-rolling vào VPS Debian

Cách chuyển đổi từ Debian là cách mà phần lớn mọi người thực sự chọn, vì gần như nhà cung cấp nào cũng có Debian. Nhập khóa ký của Kali, đăng ký kho với signed-by, rồi cài gói keyring và một metapackage bộ công cụ:

sudo apt update && sudo apt install -y wget gnupg
wget -qO - https://archive.kali.org/archive-key.asc \
  | sudo gpg --dearmor -o /usr/share/keyrings/kali-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/kali-archive-keyring.gpg] \
http://http.kali.org/kali kali-rolling main contrib non-free non-free-firmware" \
  | sudo tee /etc/apt/sources.list.d/kali.list
sudo apt update
sudo apt install -y kali-archive-keyring kali-linux-headless

Hai lưu ý thẳng thắn. Kali là bản phát hành rolling (cập nhật liên tục), nên trộn các gói của nó với Debian stable có thể kéo theo những thư viện mới hơn mức phần còn lại của hệ thống mong đợi. Hãy dùng máy cho đúng một mục đích. Và nếu bạn chỉ cần công cụ, như chạy một trình quét hay bẻ một mã băm trong lab, phương án gọn nhất là container chính thức, vốn không hề đụng tới hệ điều hành của máy chủ:

sudo apt install -y docker.io
sudo docker run -it kalilinux/kali-rolling /bin/bash
# inside the container:
apt update && apt install -y kali-linux-headless

Chọn bộ công cụ: metapackage của Kali

Kali chia công cụ thành các metapackage để bạn chỉ cài những gì cần. Trên VPS headless (không giao diện), bạn hầu như không bao giờ cần cả bộ đồ họa đầy đủ. Các gói thường dùng:

Cài bằng sudo apt install -y kali-linux-headless. Bạn luôn có thể thêm từng công cụ theo tên về sau, nên không cần kéo cả một metapackage lớn chỉ để có một tiện ích.

Truy cập qua SSH, chỉ thêm desktop khi thật sự cần

Kali có sẵn openssh-server nhưng để dịch vụ ở trạng thái tắt theo mặc định, và đó là lựa chọn đúng. Hãy bật nó lên, rồi khóa chặt trước khi để cổng mở ra ngoài:

sudo systemctl enable --now ssh
systemctl status ssh

Những bước thực sự quan trọng (đăng nhập bằng khóa, PasswordAuthentication no, không cho root đăng nhập, fail2ban) trên Kali cũng giống mọi hệ thống dựa trên Debian; hướng dẫn bật SSH và bảo mật nó trên Ubuntu áp dụng gần như nguyên văn. Phần lớn công việc với Kali là dòng lệnh, nên một máy headless truy cập qua SSH thường là đủ.

Khi bạn thực sự cần desktop Xfce (Burp Suite, trình duyệt, công cụ có giao diện), đừng để lộ nó ra internet. Cài một desktop và một máy chủ VNC, rồi đưa nó qua đường hầm SSH:

sudo apt install -y kali-desktop-xfce tigervnc-standalone-server
vncserver :1 -localhost          # bind to localhost only
# from your own machine, open the tunnel:
ssh -L 5901:localhost:5901 kali@SERVER_IP

Trỏ VNC client của bạn tới localhost:5901. xRDP hoạt động tương tự: cài nó, giữ cổng 3389 sau tường lửa, và chuyển tiếp cổng bằng ssh -L 3390:localhost:3389 kali@SERVER_IP. Nếu bạn đi theo chiều ngược lại, từ desktop Linux vào một máy Windows, bài remote desktop từ Linux sang Windows giới thiệu các RDP client.

Bảo mật: Kali là mục tiêu

Một máy chủ có SSH mở sẽ bị quét trong vòng vài phút, và một máy chủ chứa đầy mã khai thác càng có giá với kẻ tìm thấy nó. Hãy coi máy như đang đối mặt với môi trường thù địch ngay từ lần khởi động đầu tiên.

• Dùng tường lửa mặc định chặn tất cả. Kali không bật sẵn tường lửa cho bạn. Chỉ cho phép những gì bạn dùng.

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable

• Biết những gì đang lắng nghe. Mỗi cổng mở là một bề mặt tấn công, vì vậy hãy kiểm tra bằng các lệnh kiểm tra cổng mở trên Linux và đóng mọi thứ bạn không định để lộ.
• Không làm việc bằng root. Kali tạo một người dùng thường kali khi cài đặt; hãy dùng nó, và chỉ dùng sudo khi công cụ thật sự cần.
• Giữ bản rolling luôn mới. Rolling nghĩa là cập nhật thường xuyên, đôi khi rất lớn: hãy chạy sudo apt update && sudo apt full-upgrade -y đều đặn.
• Giữ VNC và xRDP tránh xa giao diện mạng công khai. Chỉ bind vào localhost và đi qua đường hầm SSH như trên. Đổi cổng của một dịch vụ chỉ là che mắt, không phải bảo mật: nó không giấu được gì trước một lần quét thực sự.

Cần bao nhiêu CPU, RAM và dung lượng đĩa?

Kali tăng theo những gì bạn cài. Một bộ công cụ headless qua SSH thì nhẹ; desktop cùng các công cụ web-app nặng thì không. Hướng dẫn của chính Kali, làm điểm khởi đầu:

Đĩa đầy nhanh hơn bạn nghĩ khi kali-linux-large và các bản cập nhật rolling tích tụ dần, vì vậy hãy chừa dư. Hai vCPU riêng xử lý được phần lớn tác vụ; bẻ mật khẩu và fuzzing sẽ dùng hết mọi tài nguyên bạn cấp. Đây là con số định hướng, không phải kết quả benchmark: hãy chọn cấu hình theo bộ công cụ bạn thực sự dùng.

Đúng luật: chỉ kiểm thử khi được phép

Sở hữu và chạy các công cụ của Kali là hợp pháp; dùng chúng nhắm vào những hệ thống bạn không sở hữu hoặc không có giấy phép bằng văn bản để kiểm thử thì không. Quét, khai thác hay dò mật khẩu (brute-force) hạ tầng của bên thứ ba có thể vi phạm luật về lạm dụng máy tính dù bạn hay mục tiêu ở đâu, và chính sách sử dụng chấp nhận được của mọi nhà cung cấp uy tín (kể cả rdp.monster) đều cấm dùng máy chủ để tấn công người khác. Hãy giữ công việc trong lab của riêng bạn, trong một hợp đồng với khách hàng có phạm vi đã ký, hoặc một cuộc thi CTF hay môi trường đào tạo được cho phép. Hoạt động trái phép sẽ khiến máy chủ bị tạm ngưng và có thể dẫn tới trách nhiệm hình sự; không có vùng xám nào đáng để mạo hiểm.

Tất cả những điều trên đều giả định một máy mà bạn có toàn quyền root và có thể dựng lại mà không cần hỏi ai. Một VPS Linux từ rdp.monster đáp ứng đúng điều đó: toàn quyền root, CPU và RAM riêng, băng thông không giới hạn (sử dụng hợp lý), không cần KYC, thanh toán bằng crypto hoặc tiền pháp định, từ $8.99/tháng, và máy chủ hoạt động khoảng 10 giây sau khi thanh toán được xác nhận. Triển khai Debian, thêm kali-rolling và kali-linux-headless, bảo mật SSH, và bạn có một máy pentest dùng xong có thể xóa và triển khai lại mỗi khi một hợp đồng kết thúc.

Câu hỏi thường gặp

Tôi có thể cài Kali Linux trên bất kỳ nhà cung cấp VPS nào không?

Gần như nhà cung cấp nào cũng được nếu cho bạn toàn quyền root và có image Kali hoặc nền Debian để chuyển đổi.

Phần lớn nhà cung cấp VPS đều cho phép chạy Kali theo cách này hay cách khác. Một số có sẵn Kali trong danh mục hệ điều hành. Nếu không có, bạn thường có thể khởi động vào hệ thống rescue và ghi image generic của Kali lên đĩa, gắn ISO netinstaller, hoặc bắt đầu từ Debian và thêm kho kali-rolling. Điều bạn cần là toàn quyền root và, lý tưởng nhất, quyền truy cập console hoặc rescue. Các gói được quản lý hoàn toàn hoặc hosting dùng chung khóa hệ điều hành sẽ không dùng được.

Kali Linux có phải là hệ điều hành máy chủ tốt để dùng hằng ngày không?

Không, Kali là bản phân phối chuyên về bảo mật, không phải hệ điều hành máy chủ đa dụng.

Kali được xây dựng và duy trì cho kiểm thử xâm nhập và điều tra số, và chính tài liệu của nó khuyên không nên dùng như desktop thông thường hay cài thêm phần mềm không liên quan. Để chạy website, cơ sở dữ liệu hay ứng dụng, một máy chủ Debian hoặc Ubuntu tiêu chuẩn là nền tốt hơn: ổn định, có tài liệu phong phú và được mọi bảng điều khiển hỗ trợ. Hãy dùng Kali cho đúng một mục đích: một máy công cụ bạn dựng lên cho một hợp đồng và dựng lại sau đó, tách biệt khỏi mọi thứ đang chạy production.

Tôi có cần GUI không, hay có thể dùng Kali hoàn toàn qua SSH?

Phần lớn công cụ của Kali là dòng lệnh, nên một VPS headless qua SSH là đủ cho đa số tác vụ.

Phần lớn công cụ của Kali (nmap, hydra, sqlmap, hashcat và các công cụ khác) là dòng lệnh, nên một bản cài headless truy cập qua SSH đáp ứng hầu hết quy trình làm việc và tốn ít RAM và dung lượng đĩa hơn nhiều. Cài kali-linux-headless và bỏ qua desktop. Chỉ thêm Xfce với máy chủ VNC hoặc xRDP cho số ít công cụ có giao diện như Burp Suite, và đưa desktop đó qua đường hầm SSH thay vì để lộ ra internet.

Làm sao để giữ VPS Kali luôn được cập nhật?

Kali là bản phát hành rolling; hãy chạy apt update và full-upgrade đều đặn.

Kali đi theo nhánh kali-rolling, nghĩa là các gói được cập nhật liên tục thay vì theo các bản phát hành cố định. Giữ hệ thống luôn mới bằng sudo apt update && sudo apt full-upgrade -y, chạy mỗi một hoặc hai tuần. Vì là bản rolling, các bản cập nhật đôi khi lớn và thỉnh thoảng kéo theo phiên bản thư viện mới, nên đừng chạy một lần quét quan trọng ngay sau một lần nâng cấp chưa được kiểm tra. Làm mới archive keyring bằng sudo apt install -y kali-archive-keyring nếu xuất hiện lỗi chữ ký.