家用住宅主机Linux OpenVAS漏洞扫描住宅服务器

家里的Linux服务器跑着各种服务，怎么知道它有没有安全漏洞？
OpenVAS（Open Vulnerability Assessment System）是一款开源的漏洞扫描工具，能帮你自动化检测常见漏洞。
本文从零开始，讲清楚安装、配置、扫描和结果解读，适合完全没接触过安全扫描的新手。

开始前的准备

你需要一台运行 Linux 的家用主机（推荐 Ubuntu 20.04/22.04 或 Debian 11/12），建议内存至少 4GB、硬盘剩余空间 20GB 以上。
确保系统已更新：

sudo apt update && sudo apt upgrade -y

网络方面，建议让主机使用固定内网 IP（可在路由器 DHCP 设置里绑定），避免扫描时 IP 变化导致中断。
如果你用的是住宅宽带，默认公网 IP 可能动态变化，扫描本机或内网设备不受影响。

安装 OpenVAS

OpenVAS 现在通常通过 Greenbone Vulnerability Management（GVM）组件一起安装。
使用官方仓库方式最稳定：

sudo apt install gvm -y

安装完成后，运行初始化脚本，这一步会下载漏洞数据库（NVTs）并配置服务，耗时较长，网络不好的话可能 30 分钟到 1 小时：

sudo gvm-setup

如果看到提示“User created”之类的信息，说明安装成功。
接着检查服务状态：

sudo gvm-check-setup

输出无 Error 就表示能用了。
注意：安装过程如果报错缺少某个依赖库，可以按提示安装对应包再重试。

启动 Web 管理界面

OpenVAS 提供 Web 界面（Greenbone Security Assistant）方便操作。
默认地址是 https://你本机IP:9392。
启动服务：

sudo gvm-start

第一次访问浏览器会提示证书风险，直接点“高级”->“继续前往”即可。
登录账号密码在初始化时已生成，可通过以下命令查看：

sudo gvm-get-user

如果没有显示，可以手动创建管理员账号：

sudo runuser -u _gvm -- gvmd --create-user=admin --password=你的密码

登录后进入仪表盘，界面是全英文的，但操作逻辑很简单。

配置并执行第一次扫描

1. 点击左侧菜单 Scans -> Tasks，然后点紫色 wand icon（新建任务）。
2. Task Name 填一个名字，比如“家庭内网扫描”。
3. Scan Targets 点击铅笔图标新建目标：输入目标 IP 或网段，比如 192.168.1.0/24 扫描整个内网。
4. 其他选项保持默认，点击 Save。
5. 回到任务列表，点击任务右侧的绿色播放按钮（Start）开始扫描。

扫描时间取决于目标数量和漏洞库大小，内网几个设备一般 10-30 分钟。
期间可以点任务名查看进度。

查看与理解扫描结果

扫描完成后，点任务名进入结果页。
主要看三类信息：

• Severity：漏洞严重程度（Critical / High / Medium / Low）。
• Host：有漏洞的设备 IP。
• Summary：漏洞简介与修复建议（大多是英文）。

针对家用主机，常见高危险漏洞可能是 SSH 密码认证未禁用、旧版 Samba 或未打补丁的 Web 服务。
点击每条漏洞可看到详细描述和官方 CVE 编号。

避坑指南

• 内存不足：4GB 内存勉强够用，扫描时可能会卡顿，建议关闭其他大内存程序。若实在不够，可考虑用 --disable-vts 参数减少漏洞库加载。
• 扫描时网络中断：住宅宽带有时会短暂断连，如果扫描突然停止，重新启动任务即可（OpenVAS 支持断点续扫）。
• 防火墙阻止访问 Web 界面：检查主机防火墙是否放行 9392 端口。使用 UFW 的话执行 sudo ufw allow 9392。
• 不要扫描未授权的第三方设备：虽然扫描自家内网没问题，但不要用 OpenVAS 扫描邻居或公网上不属于你的 IP，这违法。

常见问题

Q：安装 gvm 时提示“Unable to locate package”怎么办？
A：先确认系统版本为 Ubuntu 18.04+ 或 Debian 10+，然后添加官方 PPA（Ubuntu 下）：sudo add-apt-repository ppa:mrazavi/gvm，更新后再安装。

Q：gvm-start 启动后访问 https://127.0.0.1:9392 无法打开？
A：检查服务是否在运行：sudo systemctl status gvmd。如果没运行，手动启动：sudo systemctl start gvmd && sudo systemctl start gsa。

Q：扫描结果全是低风险，是不是没扫到？
A：不一定。家用系统如果没有开放太多端口，且及时更新了补丁，确实漏洞较少。建议扫一下常见端口（80、443、22、3389 等）并开启暴力破解检测（在任务配置中勾选“Detect Bruteforce”）。

结尾

以上就是在家用住宅主机上部署 OpenVAS 漏洞扫描的完整流程。
首次扫描后，建议每周或每月定期运行一次，观察新增漏洞。
如果你遇到其他报错，可以回看避坑部分，或者检查日志 journalctl -u gvmd -n 50。
掌握基本的漏洞扫描能力，你的住宅服务器会安全很多。