Мне пока нравится сочетать Burp Suite с Nmap — первый для веба, второй для сети. Metasploit пока не очень осваиваю, кажется, он тяжеловат для начала, лучше сначала сканеры и автоматизацию попробовать. Kali неплох, но действительно иногда обновления ломают привычный рабочий процесс, приходится ждать фиксов. В любом случае, без четкого договора никуда, иначе рискуешь сильно навредить клиенту случайно.