openvas 配置文件

OpenVAS 的置文配置文件不像 Nginx 那样堆在一个目录里等你改。它散落在 /etc/openvas/ 下，置文几个文件各管一摊，置文改错了连报错都看不懂。置文我折腾了三年，置文最深的置文感受是：这玩意儿的配置逻辑像老式收音机——旋钮多，但每个旋钮只管一个频段。置文

先看 openvassd.conf。置文这是置文扫描引擎的主配置，里面躺着几个要命的置文参数。max_hosts 和 max_checks 决定并发量，置文默认值低得让人抓狂。置文我曾经拿它扫一个 /24 段，置文跑了四小时没完。置文后来把 max_hosts 从 20 拉到 60，置文max_checks 从 5 提到 10，时间直接砍半。但别贪，调太高会把目标机器打挂，尤其是那些跑着老 IIS 的 Windows Server 2003——我亲眼见过一台机器被扫到蓝屏。

另一个关键项是 port_range。默认只扫常见端口，这不够。有次客户说内网有台机器开了 8081 端口，但 OpenVAS 愣是没发现。原因就是配置文件里没把 8081 加进范围。改成 port_range = "1-65535" 最省事，但扫描时间会呈指数级上涨。折中方案是写 "default, 8081-8085, 9000-9100"，把业务端口单独拎出来。

openvasmd.conf 管着管理服务。这里面有个坑：db_address 默认指向本地 socket，但如果你用 systemd 启动，经常遇到权限问题。报错信息特别误导人，说什么 "permission denied"，实际上是你没把 redis 的 unixsocket 权限改成 770。改这个文件时顺手把 max_db_connections 调大点，默认 32 在并发扫描时容易卡死——我遇到过扫描任务跑到一半，数据库连接池满了，所有任务全部挂起，界面还显示 "running"，其实早就僵了。

还有个容易被忽略的文件是 gsad.conf，它控制 Web 界面。默认绑定 127.0.0.1，想远程访问就得改。但这里有个安全悖论：你改了监听地址，等于把漏洞扫描器的管理界面暴露到网络里。我的做法是用防火墙只放行特定 IP，而不是在 gsad.conf 里开 0.0.0.0。毕竟这工具本身就是找漏洞的，别人要是黑进管理界面，直接能拿到你整个网络的扫描结果——那比被扫还可怕。

最后提醒一句：改完配置别急着重启。先跑 openvas-check-setup，它能帮你发现大部分语法错误和依赖问题。我见过太多人改完 openvassd.conf 直接 service 重启，结果服务起不来，日志里只写 "FATAL: syntax error"，但具体错在哪行根本不提示。你只能一行行回头检查，比写代码调试还痛苦。

配置文件这东西，本质是给机器看的说明书。你写得越清楚，机器跑得越顺。但 OpenVAS 的说明书有个特点——它不会主动告诉你所有选项的含义，你得靠试错。我的经验是：每改一个参数，就记录下改动前后的扫描结果差异。时间久了，你会形成自己的配置模板，比官方文档好用得多。