Kas sinu Vaultwarden-hoidla peaks olema ainult VPN-i kaudu? Kolm tingimust

Esimene sisselogimine asendustelefonis on koht, kus ainult VPN-i kaudu töötav hoidla näitab oma hinda: rakendusel pole vahemälu, server seisab tunneli taga ja tunneli mandaadid võivad olla hoidlas, mida sa ei saa avada. See on projekteerimisküsimus, mitte katkestus, ja odavam on sellele vastata enne kasutuselevõttu kui pärast. Kolm tingimust otsustavad, kas privaatne hoidla on sinu kasutajatele otstarbekas. Kui mõni neist ebaõnnestub, on õige vastus tavaliselt kitsam paljastus, mitte VPN-i sein.

Tingimus 1: sinu kasutajad jõuavad serverini esimesel päeval

Uuel seadmel pole vahemälu, seanssi ega usaldust. Tal on vaja serveri hostinime lahendamist, teed sinna ja VPN-profiili, mis on juba paigaldatud enne, kui kasutaja proovib sisse logida. Kui mõni neist kolmest saabub alles pärast esimest sisselogimist, ebaõnnestub kasutuselevõtt halvimal võimalikul hetkel. Loe kokku, mitu sammu uus töötaja peab läbima, enne kui ta saab oma hoidla avada.

Jagatud tunnel sobib siin sageli paremini: kanna ainult hoidla lõpp-punkti ja selle vajalikku DNS-teed ning jäta ülejäänud kasutajaliiklus rahule. See on marsruutimisotsus, mis tehakse koos VPN-i omanikuga, mitte eeldus, et iga mobiiliklient järgib sama poliitikat. Mõlemad aadressiperekonnad ja teenuse hostinimi peavad selle valikuga kooskõlas olema.

Kui kasutajad ei jõua serverini enne, kui neil on töötavad mandaadid, ebaõnnestub see tingimus ja VPN-i sein on vale kujuga.

Tingimus 2: vahemällu salvestatud ligipääs on kirjutuskaitstud ja sellest piisab

Bitwardeni kliendid saavad näidata juba avatud hoidlat serverini jõudmata, ja see võrguühenduseta koopia on kirjutuskaitstud. See on kasulik parooli lugemiseks katkestuse ajal; see ei ole uus sisselogimine ega redigeerimine. Otsusta, kas kirjutuskaitse on sinu kasutajatele vastuvõetav, enne kui selle ümber projekteerid.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Lukustamine ja väljalogimine on eri olekud ja erinevus on siin oluline. Lukustatud klient hoiab kohaliku hoidla krüpteerituna ja saab selle uuesti avada peakoodiga või biomeetriaga; väljalogimine eemaldab selle kohaliku koopia ja nõuab serverit. Kui tugiskript ütleb kasutajatele, et nad logiksid sünkroonimisprobleemi parandamiseks välja ja uuesti sisse, eemaldab see ka nende võrguühenduseta ligipääsu. Kontrolli iga kliendi aegumistegevust, selle asemel et eeldada vaikeväärtust.

Vahemällu salvestatud koopia ei ole varukoopia. See elab ühes seadmes, on seotud ühe kontoga ja kaob väljalogimise või kustutamisega.

Tingimus 3: taastamine ei käi hoidla enda kaudu

Ringkäiku on lihtne kogemata ehitada: VPN-i mandaadid on hoidlas, hoidla on VPN-i taga ja ainus vahemäluga seade on see, mis läks kaduma. Siis sõltub taastamine dokumendist või inimesest väljaspool süsteemi. Kirjuta see alglaadimistee üles ja testi seda taastatava kontoga enne, kui keegi seda vajab. Hädaolukorra protseduur, mida keegi pole harjutanud, on vaid lootus.

Testi järjekorda kontrollitult: kinnita, millised olemasolevad üksused jäävad võrguühenduseta loetavaks, seejärel taasta võrgutee ja kontrolli, et uus sisselogimine ja sünkroonimine mõlemad töötavad. Väldi ainsast vahemällu salvestatud koopiast väljalogimist katse korras, kui muud tagasiteed pole. Kirjuta üles, mida vaatlesid, sealhulgas kliendi versioon.

Kui taastamine nõuab hoidlat, ebaõnnestub see tingimus. Lahendus on dokumenteeritud ribaväline tee, mitte tugevam hoiatus sissejuhatusdokumendis.

Mida sa igal juhul hoiad: HTTPS, varukoopiad ja uuendused

HTTPS jääb paigale ka VPN-i taga. See annab veebiteenusele identiteedi, mida brauser saab kontrollida, ja hoiab rakenduse ühenduse kaitstuna sõltumata sellest, kus tunnel lõpeb. Privaatne lõpp-punkt ei tohiks õpetada kasutajaid sertifikaadihoiatusi läbi klikkima, sest see harjumus järgneb neile avalikele saitidele.

Varukoopiad on kättesaadavusest eraldi distsipliin. Vaultwarden salvestab oma andmed andmebaasi, ja peatatud teenuse ajal tehtud järjekindel koopia või andmebaasi tasandi varukoopia on väärtuslikum kui töötavast protsessist kopeeritud fail. Hoia koopiat väljaspool hoidla hosti ja testi taastamist. Eksporditud hoidla materjal vajab sama kaitset kui originaal, sest eksport ei ole krüpteeritud nii nagu serveri salvestusruum.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Seejärel hoia server ja kliendid uuendatud. Ainult VPN-i kaudu ligipääs vähendab paljastust; see ei tee haavatavat teostust kahjutuks ega kaitse kompromiteeritud lõpp-punkti. Kolm tingimust otsustavad ligipääsumudeli ja hooldus otsustab, kas see mudel elab aasta üle.