Ну вообще, пентест — это не просто набор команд и тулзов, тут сложнее. Самое важное — понимать, что с уязвимостями и сетями целиком разбираться надо, а не просто по сценариям бегать. Виртуалки и тестовые стенды — ок, но без понимания базового принципа работы сетей и протоколов толку мало будет. Так что всё не так однозначно, просто практикой далеко не уедешь без теории.