آیا گاوصندوق Vaultwarden شما باید فقط از طریق VPN باشد؟ سه شرط
گاوصندوق خصوصی یک تصمیم مسیریابی و بازیابی است، نه فقط یک قاعده فایروال. سه شرط را بررسی کنید: دسترسی در روز اول، حافظه پنهان فقط خواندنی، و راهی برای بازگشت.
نخستین ورود روی یک تلفن جایگزین همان جایی است که گاوصندوقی که فقط از طریق VPN کار می‌کند هزینه‌اش را نشان می‌دهد: برنامه هیچ حافظه پنهانی ندارد، سرور پشت یک تونل است، و اعتبارنامه تونل ممکن است داخل همان گاوصندوقی باشد که نمی‌توانید بازش کنید. این یک پرسش طراحی است نه یک قطعی، و پاسخ دادن به آن پیش از استقرار ارزان‌تر از پس از آن است. سه شرط تعیین می‌کند که آیا گاوصندوق خصوصی برای کاربران شما عملی است. اگر هر یک از آنها شکست بخورد، پاسخ درست معمولاً قرار گرفتن در معرض تنگ‌تر است، نه دیوار VPN.
شرط 1: کاربران شما در روز اول به سرور می‌رسند
دستگاه تازه هیچ حافظه پنهان، هیچ نشست و هیچ اعتمادی ندارد. به حل شدن نام میزبان سرور، مسیری برای رسیدن به آن، و نمایه VPN که پیش از تلاش کاربر برای ورود نصب شده باشد نیاز دارد. اگر هر یک از این سه فقط پس از نخستین ورود برسد، استقرار در بدترین لحظه ممکن شکست می‌خورد. بشمارید که یک کارمند تازه چند گام باید بردارد تا بتواند گاوصندوقش را باز کند.
تونل تقسیم‌شده اغلب اینجا مناسب‌تر است: فقط نقطه پایانی گاوصندوق و مسیر DNS مورد نیازش را حمل کنید و باقی ترافیک کاربر را به حال خود بگذارید. این تصمیمی درباره مسیریابی است که با صاحب VPN گرفته می‌شود، نه فرضی که هر کارخواه همراه همان سیاست را رعایت می‌کند. هر دو خانواده نشانی و نام میزبان سرویس باید با این انتخاب سازگار باشند.
اگر کاربران پیش از داشتن اعتبارنامه کارآمد به سرور نرسند، این شرط شکست می‌خورد و دیوار VPN شکل نادرستی دارد.
شرط 2: دسترسی ذخیره‌شده فقط خواندنی است، و همین کافی است
کارخواه‌های Bitwarden می‌توانند گاوصندوقی را که از پیش باز شده است بدون رسیدن به سرور نشان دهند، و آن نسخه برون‌خط فقط خواندنی است. برای خواندن یک گذرواژه در زمان قطعی مفید است؛ ورود تازه نیست و ویرایش هم نیست. پیش از طراحی بر پایه آن تصمیم بگیرید که فقط خواندن برای کاربران شما پذیرفتنی است یا نه.
curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/nullقفل کردن و خروج دو حالت متفاوت‌اند و تفاوت اینجا مهم است. کارخواه قفل‌شده گاوصندوق محلی را رمزگذاری‌شده نگه می‌دارد و می‌تواند آن را با گذرواژه اصلی یا زیست‌سنجی دوباره باز کند؛ خروج آن نسخه محلی را حذف می‌کند و به سرور نیاز دارد. اگر یک اسکریپت پشتیبانی به کاربران بگوید برای رفع مشکل همگام‌سازی خارج شوند و دوباره وارد شوند، دسترسی برون‌خط آنها را هم حذف می‌کند. به جای فرض کردن مقدار پیش‌فرض، کنش مهلت زمانی را در هر کارخواه بررسی کنید.
نسخه ذخیره‌شده پشتیبان نیست. روی یک دستگاه زندگی می‌کند، به یک حساب گره خورده است، و با خروج یا پاک‌سازی از میان می‌رود.
شرط 3: بازیابی از خود گاوصندوق نمی‌گذرد
ساختن حالت دوری به‌طور تصادفی آسان است: اعتبارنامه VPN در گاوصندوق ذخیره شده، گاوصندوق پشت VPN است، و تنها دستگاهی که حافظه پنهان دارد همان دستگاهی است که گم شده. آن‌گاه بازیابی به سندی یا شخصی بیرون از سامانه وابسته می‌شود. آن مسیر راه‌اندازی را بنویسید و پیش از آنکه کسی به آن نیاز پیدا کند با حسابی قابل بازیابی آزمایشش کنید. رویه اضطراری‌ای که هیچ‌کس تمرین نکرده باشد فقط یک امید است.
توالی را به‌شکل کنترل‌شده بیازمایید: تأیید کنید کدام اقلام موجود برون‌خط خواندنی می‌مانند، سپس مسیر شبکه را بازگردانید و بررسی کنید که ورود تازه و همگام‌سازی هر دو کار می‌کنند. از خروج روی تنها نسخه ذخیره‌شده به‌عنوان آزمایش پرهیز کنید، مگر آنکه راه بازگشت دیگری وجود داشته باشد. آنچه مشاهده کردید را ثبت کنید، از جمله نسخه کارخواه.
اگر بازیابی به گاوصندوق نیاز داشته باشد، این شرط شکست می‌خورد. راه‌حل یک مسیر مستند خارج از باند است، نه هشدار شدیدتر در سند آشناسازی.
آنچه در هر حال نگه می‌دارید: HTTPS، پشتیبان‌ها و به‌روزرسانی‌ها
HTTPS حتی پشت VPN هم سر جای خود می‌ماند. به سرویس وب هویتی می‌دهد که مرورگر می‌تواند بررسی کند و اتصال برنامه را مستقل از اینکه تونل کجا پایان می‌یابد محفوظ نگه می‌دارد. نقطه پایانی خصوصی نباید به کاربران بیاموزد که هشدارهای گواهی را نادیده بگیرند، زیرا این عادت آنها را به سایت‌های عمومی هم می‌کشاند.
پشتیبان‌گیری رشته‌ای جدا از دسترس‌پذیری است. Vaultwarden داده‌هایش را در یک پایگاه داده ذخیره می‌کند، و نسخه سازگاری که هنگام متوقف بودن سرویس گرفته شود، یا پشتیبانی در سطح پایگاه داده، ارزشش بیش از فایلی است که از فرایندی در حال اجرا کپی شده باشد. نسخه را بیرون از میزبان گاوصندوق نگه دارید و یک بازیابی را بیازمایید. مواد صادرشده گاوصندوق همان حفاظتی را می‌خواهد که اصل دارد، زیرا برون‌بر مانند انبار سرور رمزگذاری نشده است.
sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose psسپس سرور و کارخواه‌ها را به‌روز نگه دارید. دسترسی فقط از طریق VPN قرار گرفتن در معرض را کم می‌کند؛ اما یک پیاده‌سازی آسیب‌پذیر را بی‌خطر نمی‌کند و از نقطه پایانی آلوده محافظت نمی‌کند. سه شرط مدل دسترسی را تعیین می‌کند، و نگهداری تعیین می‌کند که آیا آن مدل سال را پشت سر می‌گذارد.