A ddylai eich clo Vaultwarden fod ar VPN yn unig? Tair amod

Y mewngofnodi cyntaf ar ffôn newydd yw’r man lle mae clo sy’n gweithio ar VPN yn unig yn dangos ei gost: nid oes storfa gan yr ap, mae’r gweinydd y tu ôl i dwnnel, ac efallai bod manylion y twnnel y tu mewn i’r clo na allwch ei agor. Cwestiwn dylunio yw hwn yn hytrach na thoriad gwasanaeth, ac mae’n rhatach ei ateb cyn y defnydd na wedyn. Mae tair amod yn penderfynu a yw clo preifat yn ymarferol i’ch defnyddwyr. Os bydd unrhyw un ohonynt yn methu, yr ateb cywir fel arfer yw datguddiad culach yn hytrach na wal VPN.

Amod 1: mae eich defnyddwyr yn cyrraedd y gweinydd ar y diwrnod cyntaf

Nid oes gan ddyfais newydd storfa, sesiwn na hyder. Mae angen iddi enw gwesteiwr y gweinydd gael ei ddatrys, y llwybr i gyrraedd yno, a phroffil VPN sydd eisoes wedi’i osod cyn i’r defnyddiwr geisio mewngofnodi. Os daw unrhyw un o’r tri hynny dim ond ar ôl y mewngofnodi cyntaf, bydd y defnydd yn methu ar yr adeg waethaf bosibl. Cyfrifwch faint o gamau y mae’n rhaid i weithiwr newydd eu cwblhau cyn agor ei glo.

Mae twnnel hollt yn aml yn gweddu’n well yma: cludwch bwynt terfyn y clo a’r llwybr DNS y mae ei angen yn unig, a gadewch weddill traffig y defnyddiwr yn llonydd. Penderfyniad llwybro yw hwn i’w wneud gyda pherchennog y VPN, nid rhagdybiaeth bod pob cleient symudol yn parchu’r un polisi. Rhaid i’r ddau deulu cyfeiriad ac enw gwesteiwr y gwasanaeth gyd-fynd â’r dewis hwn.

Os na all defnyddwyr gyrraedd y gweinydd cyn cael manylion mewngofnodi gweithredol, mae’r amod hwn yn methu ac mae gan y wal VPN y siâp anghywir.

Amod 2: mae mynediad wedi’i storio yn ddarllen yn unig, ac mae hynny’n ddigon

Gall cleientiaid Bitwarden ddangos clo sydd eisoes wedi’i ddatgloi heb gyrraedd y gweinydd, ac mae’r gopi all-lein hwnnw yn ddarllen yn unig. Mae’n ddefnyddiol i ddarllen cyfrinair yn ystod toriad; nid yw’n fewngofnodi newydd ac nid yw’n olygu. Penderfynwch a yw darllen yn unig yn dderbyniol i’ch defnyddwyr cyn dylunio o’i chwmpas.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Mae cloi a chofnodi allan yn wahanol gyflyrau, ac mae’r gwahaniaeth yn bwysig yma. Mae cleient wedi’i gloi yn cadw’r clo lleol wedi’i amgryptio ac yn gallu ei ddatgloi eto â’r prif gyfrinair neu biometreg; mae cofnodi allan yn tynnu’r copi lleol hwnnw ac yn gofyn am y gweinydd. Os yw sgript cymorth yn dweud wrth ddefnyddwyr am gofnodi allan a mewngofnodi eto i drwsio problem gydamseru, mae hefyd yn tynnu eu mynediad all-lein. Gwiriwch y weithred cyfyngu amser ar bob cleient yn hytrach na rhagdybio’r diofyn.

Nid yw copi wedi’i storio yn gopi wrth gefn. Mae’n byw ar un ddyfais, mae’n gysylltiedig ag un cyfrif, ac mae’n diflannu gyda chofnodi allan neu ddilead.

Amod 3: nid yw adfer yn mynd trwy’r clo ei hun

Mae’r achos cylchol yn hawdd ei adeiladu ar ddamwain: mae manylion y VPN wedi’u storio yn y clo, mae’r clo y tu ôl i’r VPN, a’r unig ddyfais sydd â storfa yw’r un a gollwyd. Wedyn mae adfer yn dibynnu ar ddogfen neu berson y tu allan i’r system. Ysgrifennwch y llwybr cychwyn hwnnw a’i brofi gyda chyfrif y gellir ei adfer cyn i unrhyw un fod ei angen. Mae gweithdrefn argyfwng nad oes neb wedi’i hymarfer yn obaith yn unig.

Profwch y dilyniant yn rheoledig: cadarnhewch ba eitemau presennol sy’n parhau’n ddarllenadwy all-lein, yna adferwch y llwybr rhwydwaith a gwirio bod mewngofnodi newydd a chydamseru’n gweithio. Osgowch gofnodi allan o’r unig gopi wedi’i storio fel arbrofion oni bai bod llwybr arall yn ôl. Cofnodwch yr hyn a sylwoch, gan gynnwys fersiwn y cleient.

Os yw adfer angen y clo, mae’r amod hwn yn methu. Yr ateb yw llwybr all-wasgfaidd wedi’i ddogfennu, nid rhybudd cryfach yn nogfen y cynefino.

Beth rydych chi’n ei gadw beth bynnag: HTTPS, copïau wrth gefn a diweddariadau

Mae HTTPS yn aros yn ei le hyd yn oed y tu ôl i VPN. Mae’n rhoi hunaniaeth i’r gwasanaeth gwe y gall y porwr ei gwirio ac yn cadw’r cysylltiad ap yn ddiogel waeth ble mae’r twnnel yn gorffen. Ni ddylai pwynt terfyn preifat ddysgu defnyddwyr i glicio trwy rybuddion tystysgrif, oherwydd mae’r arfer hwnnw’n eu dilyn i safleoedd cyhoeddus.

Mae copïau wrth gefn yn ddisgyblaeth ar wahân i argaeledd. Mae Vaultwarden yn storio’i ddata mewn cronfa ddata, ac mae copi cyson a gymerwyd tra mae’r gwasanaeth wedi stopio, neu gopi wrth gefn ar lefel cronfa ddata, yn werth mwy na ffeil a gopïwyd o broses sy’n rhedeg. Cadwch y copi oddi ar westeiwr y clo a phrofwch adferiad. Mae angen yr un amddiffyniad ar ddeunydd clo a allforiwyd ag sydd ar y gwreiddiol, oherwydd nid yw allforiad wedi’i amgryptio fel storfa’r gweinydd.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Yna cadwch y gweinydd a’r cleientiaid yn gyfredol. Mae mynediad ar VPN yn unig yn lleihau datguddiad; nid yw’n gwneud gweithrediad bregus yn ddiniwed ac nid yw’n amddiffyn pwynt terfyn sydd wedi’i beryglu. Mae’r tair amod yn penderfynu’r model mynediad, ac mae cynnal a chadw yn penderfynu a yw’r model hwnnw’n goroesi’r flwyddyn.