Parallels + Kali Linux：本地安全实验室搭建与使用边界

Kali 用来学习和验证安全知识，不是对未知目标随意扫描的许可证。本机记录中有 Parallels Desktop 与 Apple Silicon ARM64 Kali VM；具体镜像、虚拟机状态和 Parallels 版本会变化。安装过程另见 Parallels 与 Kali 安装手册，这里集中讲实验如何保持在本地。

先写清授权和网络边界

每项实验先写下目标资产、授权范围、网络模式、允许的时间和流量、结束后的清理方式。目标只能是自己创建或明确获准测试的机器；未经授权不对公网、公司网、邻居设备或陌生 Wi-Fi 扫描、探测或尝试登录。工具本身不会赋予测试权限。

Parallels 网络模式不是安全承诺

模式	适用场景	检查重点
Host-Only	Kali 与宿主/其他 VM 的闭环实验	宿主和同一虚拟网络的 VM 仍可能互通；检查路由及接口
Shared	安装更新、访问普通网络服务	VM 可能访问宿主和外部网络，不等于完全隔离
Bridged	明确需要局域网内独立设备时	VM 会出现在真实 LAN，影响范围更大
Disconnected	不需要网络的离线分析	仍需检查共享目录和设备是否开启

开始前查看 Kali 网络状态和监听端口，确认只连接预期接口；在 Parallels 检查端口转发。结束后再检查一遍。不要通过关闭宿主或来宾防火墙让实验先跑通。

ip -br addr
ip route
ss -lntup

快照、磁盘与更新策略

clean-install：刚装完系统、还没有个人数据时创建，作为可重复的起点。
lab-ready：系统更新、必要工具装好并完成网络核验后创建；记录快照对应的 Kali 与 Parallels 版本。
experiment-YYYY-MM-DD：每个有状态的课程或靶场实验前创建。回滚前确认是否要保留当前状态，因为快照之后的写入会丢失。
快照与原虚拟磁盘共存，不能替代独立备份。长期迁移应正常关机后复制完整 PVM 到独立存储，并实际验证副本可启动。
资源分配留出宿主空间；先从 2 vCPU、2-4 GB 内存和动态磁盘开始，再按宿主总资源与实验负载调整。磁盘空间紧张时先识别文件和快照来源，不要直接删除 VM 内文件。
Kali 是滚动发行版。更新前确认实验可以暂停、快照可回退、磁盘空间足够；先查看 apt 的变更计划，遇到软件包删除或来源变化时停止确认。

不要把快照堆积当成备份策略。快照数量多会增加磁盘占用和管理复杂度；定期确认哪些检查点仍有价值，并先做外部备份再清理旧快照。

训练环境与实验记录

用本地刻意脆弱的训练应用练习时，将它与真实账户、真实业务数据和公网隔开。先阅读靶场自己的安装说明，关闭不需要的端口；课程完成后回滚到初始快照。报告只记录假设、授权范围、环境版本、观察到的现象和修复建议，不保存真实凭据、未脱敏流量或他人数据。

每份记录可以包含以下清单：

目的：本次要验证的一个具体概念，而不是“扫描所有东西”。
范围：本地 Kali 地址、靶机地址和仅限虚拟网络的边界。
证据：截图或日志先移除用户名、主机名、Cookie、密钥和外部 IP。
结果：实验前后服务状态、修复动作和快照恢复结果。
清理：关闭端口转发、停止靶机、移除临时共享文件并确认 VM 回到预期快照。

学习顺序

Linux：目录、用户、进程、服务日志、包管理，先读 Linux 常用命令手册。
网络：IP、子网、DNS、路由、TCP、TLS 与 HTTP；用本机服务观察。
Web 安全：在本地训练应用理解输入校验、身份验证、授权和安全响应头；每轮实验后恢复快照。
个人服务自查：从资产盘点、配置检查、依赖更新和日志审查开始；任何可能影响线上用户的测试都先制定计划与回滚方案。
记录版本、网络拓扑和观察结果；不要把包含 Cookie、密钥或真实用户流量的抓包上传到博客。

出问题时收敛风险

VM 访问到非预期网络：立即断开虚拟网卡，记录当时模式和转发规则，再检查路由、共享与桥接配置。
Kali 无网：确认虚拟网卡已连接，再检查来宾 IP、默认路由和 DNS；不要同时修改多条防火墙规则。
VM 变慢或磁盘快满：分别检查宿主与来宾资源、磁盘和快照数量；移除快照前先确认它不是唯一恢复点。
靶机误暴露到 LAN：断开虚拟网卡、停止靶机，检查监听服务和路由器记录；必要时更换实验凭据。
影响范围不清：停止实验并保留状态供排查，不要继续运行命令试试看。

授权边界和官方参考

只在自己拥有或明确获准的系统、CTF、课程靶场和本地虚拟网络内测试；授权也要遵守目标、时间、速率和数据处理范围。
Kali 官方 Parallels 指南：临时 workaround 需核对页面日期与软件版本。
Parallels 网络设置说明：共享、Host-Only、桥接与端口转发边界。
Kali 官方虚拟化文档：确认当前宿主和来宾支持情况。