Ĉu via Vaultwarden-kelo estu atingebla nur per VPN? Tri kondiĉoj

La unua ensaluto sur anstataŭa telefono estas la loko, kie kelo atingebla nur per VPN montras sian koston: la apo havas neniun kaŝmemoron, la servilo staras malantaŭ tunelo, kaj la legitimiloj de la tunelo povas esti ene de la kelo, kiun vi ne povas malfermi. Tio estas demando pri konstruo, ne paneo, kaj estas pli malmultekoste respondi ĝin antaŭ la lanĉo ol poste. Tri kondiĉoj decidas, ĉu privata kelo estas praktika por viaj uzantoj. Se iu el ili malsukcesas, la ĝusta respondo kutime estas pli mallarĝa elmeto, ne muro de VPN.

Kondiĉo 1: viaj uzantoj atingas la servilon en la unua tago

Nova aparato havas neniun kaŝmemoron, neniun seancon kaj neniun fidon. Ĝi bezonas, ke la gastigantnomo de la servilo solviĝu, la vojon por atingi ĝin, kaj VPN-profilon jam instalitan antaŭ ol la uzanto provas ensaluti. Se iu el tiuj tri alvenas nur post la unua ensaluto, la lanĉo fiaskas en la plej malbona ebla momento. Kalkulu, kiom da paŝoj nova dungito devas plenumi antaŭ ol malfermi sian kelon.

Dividita tunelo ofte pli taŭgas ĉi tie: transportu nur la finpunkton de la kelo kaj la DNS-vojon, kiun ĝi bezonas, kaj lasu la reston de la trafiko de la uzanto trankvila. Tio estas enkursiga decido farenda kun la posedanto de la VPN, ne supozo, ke ĉiu poŝaparata kliento obeas la saman politikon. Ambaŭ adresaj familioj kaj la gastigantnomo de la servo devas kongrui kun tiu elekto.

Se uzantoj ne povas atingi la servilon antaŭ ol ili havas funkciantajn legitimilojn, tiu kondiĉo fiaskas kaj la VPN-muro havas la malĝustan formon.

Kondiĉo 2: kaŝmemora atingo estas nurlegebla, kaj tio sufiĉas

Bitwarden-klientoj povas montri jam malŝlositan kelon sen atingi la servilon, kaj tiu senreta kopio estas nurlegebla. Ĝi utilas por legi pasvorton dum paneo; ĝi ne estas nova ensaluto kaj ne estas redaktado. Decidu, ĉu nurlegado akcepteblas por viaj uzantoj, antaŭ ol konstrui ĉirkaŭ ĝi.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Ŝlosi kaj elsaluti estas malsamaj statoj, kaj la diferenco gravas ĉi tie. Ŝlosita kliento tenas la lokan kelon ĉifrita kaj povas remalŝlosi ĝin per la ĉefpasvorto aŭ biometrio; elsaluto forigas tiun lokan kopion kaj postulas la servilon. Se subtena skripto diras al uzantoj elsaluti kaj reensaluti por ripari sinkronigan problemon, ĝi ankaŭ forigas ilian senretan atingon. Kontrolu la tempon-liman agon en ĉiu kliento anstataŭ supozi la defaŭlton.

Kaŝmemora kopio ne estas savkopio. Ĝi vivas sur unu aparato, estas ligita al unu konto, kaj malaperas per elsaluto aŭ viŝo.

Kondiĉo 3: restaŭro ne iras tra la kelo mem

La cirklan kazon facile konstrui hazarde: la VPN-legitimiloj estas konservitaj en la kelo, la kelo staras malantaŭ la VPN, kaj la sola aparato kun kaŝmemoro estas tiu, kiu perdiĝis. Tiam restaŭro dependas de dokumento aŭ persono ekster la sistemo. Skribu tiun startan vojon kaj testu ĝin per reakirebla konto antaŭ ol iu bezonos ĝin. Kriz-procedo, kiun neniu ekzercis, estas nur espero.

Testu la sinsekvon kontrolite: konfirmu, kiuj ekzistantaj eroj restas legeblaj senrete, poste restarigu la retan vojon kaj kontrolu, ke nova ensaluto kaj sinkronigo ambaŭ funkcias. Evitu elsaluti de la sola kaŝmemora kopio kiel eksperimenton, krom se ekzistas alia vojo reen. Notu, kion vi observis, inkluzive de la klienta versio.

Se restaŭro postulas la kelon, tiu kondiĉo fiaskas. La solvo estas dokumentita eksterbenda vojo, ne pli forta averto en la enkonduka dokumento.

Kion vi konservas ĉiukaze: HTTPS, savkopioj kaj ĝisdatigoj

HTTPS restas surloke eĉ malantaŭ la VPN. Ĝi donas al la reta servo identecon, kiun la retumilo povas kontroli, kaj tenas la aplikaĵan konekton protektita sendepende de tio, kie la tunelo finiĝas. Privata finpunkto ne devus instrui al uzantoj klaki tra atestilaj avertoj, ĉar tiu kutimo sekvas ilin al publikaj retejoj.

Savkopioj estas aparta disciplino de havebleco. Vaultwarden konservas siajn datumojn en datumbazo, kaj konsekvenca kopio prenita dum la servo haltis, aŭ savkopio je datumbaza nivelo, valoras pli ol dosiero kopiita el kuranta procezo. Tenadu la kopion ekster la kela gastiganto kaj testu restaŭron. Eksportita kela materialo bezonas la saman protekton kiel la originalo, ĉar eksporto ne estas ĉifrita tiel kiel la konservejo de la servilo.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Poste tenadu la servilon kaj la klientojn ĝisdatigitaj. Atingo nur per VPN malpliigas elmeton; ĝi ne igas vundeblan efektivigon sendanĝera kaj ne protektas kompromititan finpunkton. La tri kondiĉoj decidas la altingan modelon, kaj prizorgado decidas, ĉu tiu modelo postvivos la jaron.