Skal din Vaultwarden-boks kun være tilgængelig via VPN? Tre betingelser

Første login på en erstatningstelefon er der, hvor en boks, der kun er tilgængelig via VPN, viser sin pris: appen har ingen cache, serveren står bag en tunnel, og tunnelens legitimationsoplysninger kan ligge inde i den boks, du ikke kan åbne. Det er et designspørgsmål og ikke et nedbrud, og det er billigere at svare på før udrulningen end efter. Tre betingelser afgør, om en privat boks er praktisk for dine brugere. Hvis blot én af dem fejler, er det rigtige svar som regel en snævrere eksponering og ikke en VPN-mur.

Betingelse 1: dine brugere kan nå serveren på dag et

En ny enhed har ingen cache, ingen session og ingen tillid. Den har brug for, at serverens værtsnavn opløses, ruten derhen og en VPN-profil, der allerede er installeret, før brugeren prøver at logge ind. Hvis blot én af de tre først kommer efter det første login, fejler udrulningen på det værst tænkelige tidspunkt. Tæl, hvor mange trin en ny medarbejder skal gennemføre, før vedkommende kan åbne sin boks.

En delt tunnel passer ofte bedre her: medbring kun boksens endpoint og den DNS-rute, den har brug for, og lad resten af brugerens trafik være. Det er en routingbeslutning, der træffes sammen med ejeren af VPN’en, ikke en antagelse om, at enhver mobilklient følger samme politik. Begge adressefamilier og tjenestens værtsnavn skal stemme overens med det valg.

Hvis brugerne ikke kan nå serveren, før de har fungerende legitimationsoplysninger, fejler denne betingelse, og VPN-muren har den forkerte form.

Betingelse 2: cachet adgang er skrivebeskyttet, og det er nok

Bitwarden-klienter kan vise en allerede oplåst boks uden at nå serveren, og den offline kopi er skrivebeskyttet. Den er nyttig til at læse en adgangskode under et nedbrud; den er ikke et nyt login og ikke redigering. Beslut, om skrivebeskyttet er acceptabelt for dine brugere, før du designer ud fra det.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Låsning og logud er forskellige tilstande, og forskellen betyder noget her. En låst klient holder den lokale boks krypteret og kan låse den op igen med hovedadgangskoden eller biometri; logud fjerner den lokale kopi og kræver serveren. Hvis et supportscript fortæller brugerne at logge ud og ind igen for at løse et synkroniseringsproblem, fjerner det også deres offlineadgang. Kontroller timeout-handlingen på hver klient i stedet for at antage standarden.

En cachet kopi er ikke en sikkerhedskopi. Den lever på én enhed, er bundet til én konto og forsvinder med et logud eller en sletning.

Betingelse 3: gendannelse går ikke gennem boksen selv

Det cirkulære tilfælde er let at bygge ved en fejl: VPN-legitimationsoplysningerne ligger i boksen, boksen er bag VPN’en, og den eneste enhed med en cache er den, der blev mistet. Så afhænger gendannelsen af et dokument eller en person uden for systemet. Skriv den bootstrap-vej ned, og test den med en konto, der kan gendannes, før nogen får brug for den. En nødprocedure, som ingen har øvet, er blot et håb.

Test rækkefølgen kontrolleret: bekræft, hvilke eksisterende elementer der forbliver læsbare offline, gendan derefter netværksruten, og verificer, at et nyt login og en synkronisering begge virker. Undgå at logge ud af den eneste cachede kopi som et eksperiment, medmindre der findes en anden vej tilbage. Noter, hvad du observerede, inklusive klientversionen.

Hvis gendannelse kræver boksen, fejler denne betingelse. Løsningen er en dokumenteret out-of-band-vej, ikke en skarpere advarsel i onboardingdokumentet.

Hvad du beholder uanset hvad: HTTPS, sikkerhedskopier og opdateringer

HTTPS bliver på plads, selv bag VPN’en. Det giver webtjenesten en identitet, som browseren kan kontrollere, og holder applikationsforbindelsen beskyttet, uanset hvor tunnelen ender. Et privat endpoint bør ikke lære brugerne at klikke gennem certifikatadvarsler, for den vane følger dem til offentlige websteder.

Sikkerhedskopier er en anden disciplin end tilgængelighed. Vaultwarden gemmer sine data i en database, og en konsistent kopi taget, mens tjenesten er stoppet, eller en sikkerhedskopi på databaseniveau er mere værd end en fil kopieret fra en kørende proces. Hold kopien uden for boksens vært, og test en gendannelse. Eksporteret boksemateriale har brug for samme beskyttelse som originalen, fordi en eksport ikke er krypteret som serverens lager.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Hold derefter serveren og klienterne opdaterede. Adgang kun via VPN reducerer eksponeringen; det gør ikke en sårbar implementering harmløs og beskytter ikke et kompromitteret endpoint. De tre betingelser afgør adgangsmodellen, og vedligeholdelse afgør, om den model overlever året.