网络攻防环境搭建

一台没有打过补丁的网络Windows Server 2003，插上网线，攻防平均存活时间不到12分钟。环境这不是搭建危言耸听，是网络Symantec早期蜜罐项目留下的实测数据。搭建网络攻防环境的攻防第一原则，就是环境承认这件事：你放出去的靶机，在真实互联网上撑不了多久。搭建所以，网络绝大多数实验必须跑在隔离网络里。攻防

隔离不等于断网。环境很多人第一次搭环境，搭建直接拔网线、网络关防火墙，攻防结果攻击机连靶机都ping不通。环境正确的做法是划一个内部虚拟网络，让攻击机和靶机在同一个二层广播域里，但它们跟宿主机、跟外网之间没有路由。VMware里叫Host-Only，VirtualBox里叫Internal Network，KVM用virbr加nftables规则也能实现。核心思路就一句话：流量只能在实验网内部流动。

我自己的实验室跑在Proxmox VE上。三台物理机组成集群，每台配两块网卡——一块管理口接办公网，一块全闪存口跑Ceph做存储后端。虚拟网络这块，我建了三个网桥：vmbr0桥接物理管理口，vmbr1纯内部不挂物理口，vmbr2接一个USB无线网卡做可控的外网出口。攻击机Kali放在vmbr1，靶机Metasploitable2、DVWA、一台域控也都在vmbr1。需要更新工具或拉取镜像时，临时把Kali的第二个网卡挂到vmbr2，用完立刻摘掉。这个动作我写成了脚本，一条命令切换，避免自己忘。

靶机选型有讲究。Metasploitable2够经典，但它的服务版本太老，很多现代攻击链跑不通。我现在的做法是分层：一层用VulnHub上的现成镜像快速起环境，一层用Terraform加Ansible从零构建。比如搭一个Active Directory靶场，Terraform负责在Proxmox上创建三台Windows Server 2022虚拟机，Ansible负责装域控、配DNS、加域、开SMB签名、关掉不必要的服务。整个流程跑完不到二十分钟，比手动点鼠标快得多，而且每次环境完全一致。这一点在复现漏洞时特别重要——手动搭的环境，改过一个注册表键，结果可能就完全不同。

攻击机这边，Kali是默认选项，但我更推荐在Kali里再套一层Docker。原因很简单：不同工具依赖的Python版本、Ruby gem版本经常打架。用Docker把Cobalt Strike、Sliver、Metasploit分别封在不同容器里，通过macvlan网络直连实验网桥，互不干扰。唯一要注意的是macvlan模式下宿主机跟容器默认不通，得在宿主机上补一条路由。这个坑我踩过两次，第三次才记住。

流量捕获和分析是攻防环境里最容易被忽略的部分。没有全流量，你只能看工具输出，看不到工具到底发了什么包。我在vmbr1上挂了一个镜像口，所有实验网流量复制一份到一台跑Zeek和Suricata的传感器上。Zeek负责生成连接日志、DNS日志、HTTP日志，Suricata负责告警。有一次我跑一个钓鱼攻击模拟，Metasploit的模块显示成功，但Zeek日志显示目标主机根本没有发起SMB连接——后来发现是靶机防火墙拦了445端口。没有全流量，这个错误我可能一直发现不了。

最后说一个现实问题：资源。跑三台Windows Server加一台Kali，内存至少32GB起步。如果宿主机只有16GB，建议把靶机换成Linux容器，或者用云上的按量付费实例做靶机，本地只跑攻击机。我见过有人用树莓派集群搭环境，四台树莓派4B加一个千兆交换机，跑轻量级CTF靶机完全够用，功耗还低。环境搭建没有标准答案，够用、可重复、能隔离，这三条满足就行。