Má být váš trezor Vaultwarden dostupný jen přes VPN? Tři podmínky

První přihlášení na náhradním telefonu je místo, kde trezor dostupný jen přes VPN ukáže svou cenu: aplikace nemá keš, server stojí za tunelem a přihlašovací údaje k tunelu mohou být uvnitř trezoru, který nemůžete otevřít. Je to otázka návrhu, ne výpadek, a levnější je odpovědět na ni před nasazením než po něm. Tři podmínky rozhodují, zda je soukromý trezor pro vaše uživatele praktický. Pokud některá selže, správnou odpovědí je obvykle užší vystavení, ne zeď z VPN.

Podmínka 1: vaši uživatelé dosáhnou na server hned první den

Nové zařízení nemá keš, relaci ani důvěru. Potřebuje přeložit název hostitele serveru, trasu, kterou se k němu dostane, a profil VPN nainstalovaný dřív, než se uživatel pokusí přihlásit. Pokud některá z těchto tří věcí dorazí až po prvním přihlášení, nasazení selže v nejhorší možný okamžik. Spočítejte, kolik kroků musí nový zaměstnanec dokončit, než otevře svůj trezor.

Rozdělený tunel se sem často hodí lépe: přenášejte jen koncový bod trezoru a cestu DNS, kterou potřebuje, a zbytek uživatelova provozu nechte být. Je to rozhodnutí o směrování, které se dělá s vlastníkem VPN, ne předpoklad, že každý mobilní klient dodržuje stejnou politiku. Obě rodiny adres i název hostitele služby musí s touto volbou souhlasit.

Pokud se uživatelé nedostanou na server dřív, než mají funkční přihlašovací údaje, tato podmínka selže a zeď z VPN má špatný tvar.

Podmínka 2: kešovaný přístup je jen pro čtení, a to stačí

Klienti Bitwarden umí zobrazit už odemčený trezor bez spojení se serverem, a tato offline kopie je jen pro čtení. Hodí se pro přečtení hesla během výpadku; není to nové přihlášení ani úprava. Rozhodněte, zda je pro vaše uživatele čtení bez zápisu přijatelné, dřív než kolem toho navrhnete řešení.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Uzamčení a odhlášení jsou různé stavy a rozdíl je tu podstatný. Uzamčený klient drží místní trezor zašifrovaný a může ho znovu odemknout hlavním heslem nebo biometrií; odhlášení tuto místní kopii odstraní a vyžaduje server. Pokud podpůrný skript říká uživatelům, aby se odhlásili a znovu přihlásili kvůli opravě synchronizace, odstraní tím i jejich offline přístup. Zkontrolujte akci při vypršení času u každého klienta, místo abyste předpokládali výchozí hodnotu.

Kešovaná kopie není záloha. Žije na jednom zařízení, je vázaná na jeden účet a zmizí s odhlášením nebo smazáním.

Podmínka 3: obnova nevede přes samotný trezor

Kruhový případ se snadno vytvoří omylem: přihlašovací údaj k VPN je uložený v trezoru, trezor je za VPN a jediné zařízení s keší je to, které se ztratilo. Obnova pak závisí na dokumentu nebo člověku mimo systém. Zapište tuto zaváděcí cestu a otestujte ji s obnovitelným účtem, dřív než ji někdo bude potřebovat. Nouzový postup, který nikdo nevyzkoušel, je jen naděje.

Otestujte sled kroků kontrolovaně: ověřte, které stávající položky zůstávají offline čitelné, pak obnovte síťovou cestu a ověřte, že nové přihlášení i synchronizace fungují. Vyhněte se odhlášení z jediné kešované kopie jako experimentu, pokud neexistuje jiná cesta zpět. Zaznamenejte, co jste pozorovali, včetně verze klienta.

Pokud obnova vyžaduje trezor, tato podmínka selže. Opravou je zdokumentovaná mimopásmová cesta, ne silnější varování v dokumentu pro nováčky.

Co si v každém případě ponecháte: HTTPS, zálohy a aktualizace

HTTPS zůstává na místě i za VPN. Dává webové službě identitu, kterou prohlížeč může ověřit, a drží spojení aplikace chráněné bez ohledu na to, kde tunel končí. Soukromý koncový bod by neměl učit uživatele proklikat se varováními o certifikátech, protože ten návyk je následuje i na veřejné stránky.

Zálohování je samostatná disciplína od dostupnosti. Vaultwarden ukládá data do databáze a konzistentní kopie pořízená při zastavené službě nebo záloha na úrovni databáze má větší cenu než soubor zkopírovaný z běžícího procesu. Držte kopii mimo hostitele trezoru a vyzkoušejte obnovu. Exportovaný materiál trezoru potřebuje stejnou ochranu jako originál, protože export není zašifrovaný tak jako úložiště serveru.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Pak udržujte server i klienty aktualizované. Přístup jen přes VPN snižuje vystavení; nedělá zranitelnou implementaci neškodnou a nechrání kompromitovaný koncový bod. Tři podmínky rozhodují o modelu přístupu a údržba rozhoduje o tom, zda ten model přežije rok.