Ці павінна ваша сховішча Vaultwarden працаваць толькі праз VPN? Тры ўмовы

Першы ўваход на заменным тэлефоне — гэта момант, калі сховішча, даступнае толькі праз VPN, паказвае свой кошт: у праграмы няма кэша, сервер стаіць за тунелем, а ўліковыя даныя тунеля могуць быць унутры сховішча, якое вы не можаце адкрыць. Гэта пытанне праектавання, а не збой, і адказаць на яго да разгортвання танней, чым пасля. Тры ўмовы вызначаюць, ці прыдатнае прыватнае сховішча для вашых карыстальнікаў. Калі хоць адна з іх не выконваецца, правільны адказ звычайна — вузейшае выкрыццё, а не сцяна VPN.

Умова 1: карыстальнікі дасягаюць сервера ў першы дзень

У новай прылады няма ні кэша, ні сеанса, ні даверу. Ёй патрэбна імя хоста сервера для развязання, маршрут да яго і профіль VPN, ужо ўсталяваны да таго, як карыстальнік паспрабуе ўвайсці. Калі нешта з гэтага трыва з'явіцца толькі пасля першага ўваходу, разгортванне праваліцца ў найгоршы момант. Падлічыце, колькі крокаў павінен прайсці новы супрацоўнік, перш чым адкрыць сваё сховішча.

Раздвоены тунель тут часта лепш падыходзіць: перадавайце толькі канчатковы пункт сховішча і патрэбны яму шлях DNS, а астатні трафік карыстальніка пакіньце ў спакоі. Гэта рашэнне пра маршрутызацыю, якое прымаюць разам з уладальнікам VPN, а не здагадка, што кожны мабільны кліент выконвае адну і тую ж палітыку. Абодва сямействы адрасоў і імя хоста сэрвісу павінны адпавядаць гэтаму выбару.

Калі карыстальнікі не могуць дасягнуць сервера, пакуль не маюць працоўных уліковых даных, гэтая ўмова не выконваецца, і сцяна VPN мае няправільную форму.

Умова 2: кэшаваны доступ толькі для чытання, і гэтага дастаткова

Кліенты Bitwarden могуць паказваць ужо разблакаванае сховішча, не звяртаючыся да сервера, і гэтая афлайн-копія даступная толькі для чытання. Яна карысная, каб прачытаць пароль падчас збою; гэта не новы ўваход і не рэдагаванне. Вырашыце, ці дапушчальнае чытанне без запісу для вашых карыстальнікаў, перш чым будаваць вакол гэтага праект.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Блакіроўка і выхад — розныя станы, і розніца тут важная. Заблакаваны кліент трымае лакальнае сховішча зашыфраваным і можа зноў разблакаваць яго галоўным паролем або біяметрыяй; выхад выдаляе гэтую лакальную копію і патрабуе сервера. Калі скрыпт падтрымкі кажа карыстальнікам выйсці і ўвайсці зноў, каб выправіць праблему сінхранізацыі, ён таксама выдаляе іх афлайн-доступ. Праверце дзеянне па тайм-аўце ў кожным кліенце, а не мяркуйце пра значэнне па змаўчанні.

Кэшаваная копія не з'яўляецца рэзервовай копіяй. Яна жыве на адной прыладзе, прывязаная да аднаго ўліковага запісу і знікае пры выхадзе або ачыстцы.

Умова 3: аднаўленне не ідзе праз само сховішча

Кругавую сітуацыю лёгка стварыць выпадкова: уліковыя даныя VPN захоўваюцца ў сховішчы, сховішча за VPN, а адзіная прылада з кэшам — гэта тая, што згубілася. Тады аднаўленне залежыць ад дакумента або чалавека па-за сістэмай. Запішыце гэты шлях запуску і праверце яго на ўліковым запісе, які можна аднавіць, перш чым ён спатрэбіцца. Аварыйная працэдура, якую ніхто не практыкаваў, — гэта надзея.

Праверце паслядоўнасць кантралявана: пацвердзіце, якія існуючыя элементы застаюцца чытальнымі афлайн, затым аднавіце сеткавы шлях і пераканайцеся, што новы ўваход і сінхранізацыя працуюць. Пазбягайце выхаду з адзінай кэшаванай копіі як эксперыменту, калі няма іншага шляху назад. Запішыце тое, што вы назіралі, уключна з версіяй кліента.

Калі аднаўленне патрабуе сховішча, гэтая ўмова не выконваецца. Выпраўленне — дакументаваны пазапаласны шлях, а не мацнейшае папярэджанне ў дакуменце аб уводзінах.

Што вы захоўваеце ў любым выпадку: HTTPS, рэзервовыя копіі і абнаўленні

HTTPS застаецца на месцы нават за VPN. Ён дае вэб-сэрвісу ідэнтычнасць, якую браўзер можа праверыць, і трымае злучэнне праграмы абароненым незалежна ад таго, дзе сканчаецца тунель. Прыватны канчатковы пункт не павінен вучыць карыстальнікаў праходзіць праз папярэджанні пра сертыфікаты, бо гэтая звычка ідзе з імі на публічныя сайты.

Рэзервовае капіраванне — асобная дысцыпліна ад даступнасці. Vaultwarden захоўвае даныя ў базе даных, і ўзгодненая копія, знятая пры спыненым сэрвісе, або рэзервовая копія на ўзроўні базы даных каштоўнейшая за файл, скапіяваны з працэсу, які выконваецца. Трымайце копію па-за хостам сховішча і праверце аднаўленне. Экспартаваныя матэрыялы сховішча патрабуюць такой жа абароны, як арыгінал, бо экспарт не шыфруецца так, як сховішча сервера.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Затым абнаўляйце сервер і кліенты. Доступ толькі праз VPN змяншае выкрыццё; ён не робіць уразлівую рэалізацыю бяспечнай і не абараняе скампраметаваны канчатковы пункт. Тры ўмовы вызначаюць мадэль доступу, а абслугоўванне вызначае, ці перажыве гэтая мадэль год.