openvas安装

OpenVAS 现在叫 Greenbone Vulnerability Management，但很多人还是习惯叫它 OpenVAS。装它的过程不算复杂，但坑不少，尤其是第一次碰的时候。我上周在 Debian 12 上重新搭了一遍，顺手把遇到的问题记下来。

最省事的办法是用 Docker。Greenbone 官方提供了镜像，拉下来就能跑。命令大概是这样的：

docker run -d -p 443:443 --name openvas greenbone/opensource

等几分钟，容器启动完成后，浏览器打开 https://localhost 就能看到登录页。默认账号 admin，密码在容器日志里，用 docker logs openvas 能看到。这个方式适合快速验证，但生产环境我不太推荐——数据持久化、扫描性能、插件更新都得额外处理。

如果你跟我一样喜欢直接装在系统上，那走 apt 路线。Debian 和 Ubuntu 的官方源里都有 openvas 包，但版本可能偏旧。我建议加 Greenbone 的官方源。先导入 GPG key：

curl -fsSL https://www.greenbone.net/GBCommunitySigningKey.asc | gpg --dearmor -o /etc/apt/trusted.gpg.d/greenbone.gpg

然后把源地址写进 sources.list。具体 URL 去 Greenbone 社区文档查，他们偶尔会调整。加完源之后 apt update，接着装 gvm 这个元包，它会自动拉一堆依赖，包括 postgresql、redis、各种库。下载量不小，网慢的话得等一阵。

装完只是开始。PostgreSQL 那边要建库、建用户，Redis 要确认在跑。Greenbone 提供了一个 gvm-setup 脚本，能自动完成大部分初始化工作。跑之前确认 postgres 服务已启动，否则脚本会报连接失败。我那次就是忘了 systemctl start postgresql，白等了好几分钟。

gvm-setup 执行时间挺长，因为它要同步 NVT 插件库和 SCAP 数据。插件有几万个，下载加导入数据库，视网络情况可能二十分钟到一小时。中途别中断，断了就得重来。完成后脚本会输出管理员密码，记下来，那个只显示一次。

接下来启动服务：

gvm-start

它会拉起 greenbone-security-assistant、ospd-openvas、gsad 等一堆进程。用 gvm-check-setup 检查状态，如果全绿就说明没问题。有红字的话按提示修，常见的是某个服务没起来或者 socket 权限不对。

浏览器访问 https://127.0.0.1:9392，用 admin 和你记下的密码登录。进去之后第一件事是去 Administration > Feed Status 看插件库同步状态。如果还在更新中，扫描功能会受限。等它显示当前日期，就可以建任务了。

有个细节：OpenVAS 默认只监听本地。要从别的机器访问，得改 gsad 的监听地址，在 /etc/default/gsad 里把 --listen 改成 0.0.0.0。改完重启 gsad。防火墙记得放行 9392 端口。

内存方面，官方建议至少 4GB，实际跑起来 8GB 更稳妥。插件库加载很吃内存，2GB 的机器基本跑不动，ospd-openvas 会频繁被 OOM killer 干掉。我一开始用 2GB 的 VPS 试，扫描任务排队半天没反应，换成 8GB 之后流畅多了。

扫描速度跟目标数量、插件启用范围直接相关。全量插件扫一个 C 段，几个小时很正常。日常用的话，按需裁剪插件集，别一股脑全开。

这套东西功能确实强，但维护成本不低。插件库每天更新，数据库会越来越大。定期跑 gvm-setup 之外的清理脚本，或者干脆用 Docker 方案省心。选哪种看你的使用频率和运维精力。

本文地址：http://www.79wt.cn/news/1624d9899739.html