Kali Linux VPS 托管：安装、访问与安全加固
- 2026年10月27日
- 09:00
- 作者： Adrien Roche
- 教程
在 VPS 上运行 Kali Linux 的三种方式
Kali 是基于 Debian 的发行版，为攻击性安全工作而生，并非通用桌面系统。官方就是这么说的，也提醒不要往上面堆装无关软件。在 VPS 上，这一点决定了你的选择。按结果的干净程度大致排序，有三条实用路线：
- 服务商镜像。 如果主机商的操作系统或应用市场目录里有 Kali，直接部署，然后跳到访问和加固部分。环节最少。
- Kali 官方通用镜像。 如果没有提供 Kali，就把 VPS 引导进服务商的救援系统，用
dd将 Kali 官方的通用/云镜像写入磁盘，再重启进入。这样得到的是真正受支持的 Kali 安装。 - 改造 Debian 基础系统。 从一台普通的 Debian VPS 起步，添加
kali-rolling软件源。这是支持度最低的方案（Kali 官方不建议混用软件源），但对于一台随时可以重装的专用工具机来说完全够用。
此外还有网络安装：Kali 的网络安装器（一个很小的 mini.iso）通过网络获取全部组件，适合允许挂载自定义 ISO 的 VPS。而如果你只想要工具、不想要一个新系统，那就跳过上述全部步骤，直接拉取容器镜像，下文会讲。
在 Debian VPS 上添加 kali-rolling 软件源
从 Debian 改造是大多数人实际会选的路线，因为几乎每家主机商都提供 Debian。导入 Kali 的签名密钥，用 signed-by 注册软件源，然后安装 keyring 包和一个工具集元包：
sudo apt update && sudo apt install -y wget gnupg
wget -qO - https://archive.kali.org/archive-key.asc \
| sudo gpg --dearmor -o /usr/share/keyrings/kali-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/kali-archive-keyring.gpg] \
http://http.kali.org/kali kali-rolling main contrib non-free non-free-firmware" \
| sudo tee /etc/apt/sources.list.d/kali.list
sudo apt update
sudo apt install -y kali-archive-keyring kali-linux-headless两点实话实说的注意事项。Kali 是滚动发行版，把它的软件包和 Debian stable 混用，可能引入比系统其余部分预期更新的库，所以务必让这台机器保持单一用途。另外，如果你要的只是工具，比如在实验环境里跑个扫描器或破解一个哈希，最干净的做法是使用官方容器，它完全不会动到宿主系统：
sudo apt install -y docker.io
sudo docker run -it kalilinux/kali-rolling /bin/bash
# inside the container:
apt update && apt install -y kali-linux-headless选择工具集：Kali 元包
Kali 把工具拆分成元包，让你只安装需要的部分。在无桌面的 VPS 上，你几乎不需要完整的图形化套件。常见的几个：
| 元包 | 安装内容 | 体量 |
|---|---|---|
kali-linux-core | Kali 始终包含的基础系统。 | 小 |
kali-linux-headless | 默认的命令行工具集，不含 X11 或图形界面。最适合服务器。 | 中等 |
kali-linux-default | 标准桌面镜像中附带的工具。 | 较大 |
kali-linux-large | 旧称 kali-linux-full；带宽充裕时可选的大型合集。 | 大 |
kali-linux-everything | 所有已打包的工具。在 VPS 上很少有必要。 | 非常大 |
用 sudo apt install -y kali-linux-headless 安装。之后随时可以按名称单独添加工具，没必要为了一个小工具就拉一个庞大的元包。
通过 SSH 访问，确有需要才加桌面
Kali 自带 openssh-server，但默认不启用该服务，这个默认设置是对的。先开启它，然后在把端口暴露出去之前做好加固：
sudo systemctl enable --now ssh
systemctl status ssh真正关键的几步（密钥登录、PasswordAuthentication no、禁止 root 登录、fail2ban）在 Kali 上和任何基于 Debian 的系统完全一样；在 Ubuntu 上启用并加固 SSH 的教程几乎可以逐字套用。Kali 的工作大多在命令行完成，所以通过 SSH 使用一台无桌面机器通常就够了。
当你确实需要 Xfce 桌面（Burp Suite、浏览器、图形化工具）时，不要把它暴露到互联网。安装桌面和 VNC 服务端，然后经 SSH 隧道访问：
sudo apt install -y kali-desktop-xfce tigervnc-standalone-server
vncserver :1 -localhost # bind to localhost only
# from your own machine, open the tunnel:
ssh -L 5901:localhost:5901 kali@SERVER_IP把 VNC 客户端指向 localhost:5901。xRDP 同理：安装它，用防火墙挡住 3389，再用 ssh -L 3390:localhost:3389 kali@SERVER_IP 转发端口。如果你的方向相反，是从 Linux 桌面连到 Windows 机器，从 Linux 远程桌面连接 Windows 一文介绍了各种 RDP 客户端。
做好加固：Kali 本身就是目标
一台对外开放 SSH 的服务器，几分钟内就会被扫描；而一台装满漏洞利用代码的服务器，对发现它的人来说价值更高。从第一次开机起，就把这台机器当作直面威胁的资产来对待。
- 启用默认拒绝的防火墙。 Kali 不会替你启用。只放行你实际使用的端口。
sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable- 清楚哪些端口在监听。 每个开放端口都是攻击面。用 Linux 查看开放端口的命令 逐一核查，关闭一切你本不打算暴露的服务。
- 不要以 root 身份工作。 Kali 在安装时会创建一个普通
kali用户；平时用它，只在工具确实需要时才使用sudo。 - 让滚动发行版保持最新。 滚动意味着更新频繁、有时体量很大：定期运行
sudo apt update && sudo apt full-upgrade -y。 - 不要把 VNC 和 xRDP 放到公网接口上。 绑定到 localhost 并如上所述经 SSH 隧道访问。改服务端口只是混淆，不是安全：在真正的扫描面前藏不住任何东西。
需要多少 CPU、内存和磁盘？
Kali 的资源需求取决于你装了什么。通过 SSH 使用的无桌面工具集很轻量；桌面加上重量级 Web 应用工具就不然了。以 Kali 官方建议作为起点：
| 配置 | 内存 | 磁盘 |
|---|---|---|
无桌面（SSH，kali-linux-headless） | 1 GB 可用，2 GB 更宽裕 | 15–20 GB |
Xfce 桌面 + kali-linux-default | 建议 2 GB | 20 GB 以上 |
| 重量级工具（Burp Suite，多个同时运行） | 8 GB 以上 | 30–40 GB 以上 |
一旦装上 kali-linux-large 并不断累积滚动更新，磁盘会比你预想的更快被塞满，所以要留足余量。两个专用 vCPU 能应付大多数任务；密码破解和模糊测试则会榨干你给的一切资源。这些只是参考值而非基准测试结果，请按你实际的工具集来配置。
合法使用：只做授权测试
拥有和运行 Kali 的工具是合法的；用它们攻击你并不拥有、也没有书面授权测试的系统则不合法。扫描、利用漏洞或暴力破解第三方基础设施，可能触犯你所在地或目标所在地的计算机滥用法律，而且每一家正规服务商（包括 rdp.monster）的可接受使用政策都禁止用服务器攻击他人。请把工作限制在自己的实验环境、签署了范围说明的客户项目，或获得许可的 CTF 与训练靶场之内。未经授权的活动会导致服务器被停用，并可能带来刑事责任；没有任何灰色地带值得冒这个险。
以上一切都建立在一个前提上：你对这台机器拥有完整的 root 权限，并且可以随时自行重建它，不必征求任何人同意。rdp.monster 的 Linux VPS 正符合这个要求：完整 root 权限、独享 CPU 与内存、无限流量（合理使用）、无需 KYC、支持加密货币或法币付款，每月 $8.99 起，并且在付款确认后约 10 秒服务器即上线。部署 Debian，添加 kali-rolling 和 kali-linux-headless，加固 SSH，你就拥有了一台用完即弃的渗透测试机，项目结束后随时可以清空重建。
常见问题
我可以在任何 VPS 服务商那里安装 Kali Linux 吗？
kali-rolling 软件源。你需要的是完整 root 权限，最好还有控制台或救援访问。那些锁死操作系统的全托管或共享方案则行不通。Kali Linux 适合当作日常使用的服务器系统吗？
我需要图形界面吗，还是完全通过 SSH 使用 Kali 就够？
nmap、hydra、sqlmap、hashcat 等等）都是命令行工具，因此通过 SSH 访问的无桌面安装能覆盖大多数工作流，并且占用的内存和磁盘要少得多。安装 kali-linux-headless，跳过桌面。只有为了 Burp Suite 这类少数图形化工具，才加装 Xfce 配合 VNC 或 xRDP 服务端，并且要把桌面经 SSH 隧道转发，而不是暴露到互联网。如何让 Kali VPS 保持更新？
kali-rolling 分支，意味着软件包持续更新，而不是按固定版本发布。用 sudo apt update && sudo apt full-upgrade -y 保持系统最新，每一两周执行一次。由于是滚动更新，有时体量很大，偶尔还会引入新的库版本，所以不要在未经验证的升级之后立刻执行关键扫描。若出现签名错误，用 sudo apt install -y kali-archive-keyring 刷新归档 keyring。
