Moat dyn Vaultwarden-kluis allinnich fia VPN berikber wêze? Trije betingsten

De earste oanmelding op in ferfangende telefoan is it plak dêr’t in kluis dy’t allinnich fia VPN berikber is syn kosten sjen lit: de app hat gjin cache, de tsjinner stiet efter in tunnel, en de tunnelbeynskippen kinne yn ’e kluis sitte dy’tsto net iepenje kinst. It is in ûntwerpfraach en gjin steuring, en it is goedkeaper om der foar de útrôl op te antwurdzjen as dêrnei. Trije betingsten beslisse oft in partikuliere kluis praktysk is foar dyn brûkers. As ien fan harren mislearret, is it goede antwurd meastentiids in nauwere bleatstelling en net in VPN-muorre.

Betingst 1: dyn brûkers berikke de tsjinner op ’e earste dei

In nij apparaat hat gjin cache, gjin sesje en gjin fertrouwen. It hat de hostnamme fan de tsjinner nedich om oplost te wurden, de rûte om dêr te kommen, en in VPN-profil dat al ynstallearre is foardat de brûker besiket oan te melden. As ien fan dy trije pas nei de earste oanmelding komt, mislearret de útrôl op it slimste mooglike momint. Tel hoefolle stappen in nije meiwurker dwaan moat foardat hy syn kluis iepenje kin.

In splitst tunnel past hjir faak better: ferfier allinnich it einpunt fan de kluis en it DNS-paad dat it nedich hat, en lit de rest fan it ferkear fan de brûker gewurde. It is in rûtebeslissing dy’t mei de eigner fan de VPN nommen wurdt, net in oanname dat elke mobile klant itselde belied folget. Beide adresfamyljes en de hostnamme fan de tsjinst moatte by dy kar passe.

As brûkers de tsjinner net berikke kinne foardat se wurkjende beynskippen hawwe, mislearret dizze betingst en hat de VPN-muorre de ferkearde foarm.

Betingst 2: cachet tagong is lês-allinnich, en dat is genôch

Bitwarden-klanten kinne in al ûntskoattele kluis sjen litte sûnder de tsjinner te berikken, en dy offline kopy is lês-allinnich. It is nuttich om in wachtwurd te lêzen by in steuring; it is gjin nije oanmelding en it is gjin bewurking. Beslis oft lês-allinnich akseptabel is foar dyn brûkers foardatsto deromhinne ûntwerpst.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Skoodzjen en ôfmelde binne ferskillende tastannen, en it ferskil is hjir wichtich. In skode klant hâldt de lokale kluis fersifere en kin dy wer ûntskattelje mei it haadwachtwurd of biometry; ôfmelde ferwideret dy lokale kopy en freget de tsjinner. As in stipescript brûkers seit om ôf te melden en wer oan te melden om in syngronisaasjeprobleem te ferhelpen, ferwideret it ek harren offline tagong. Kontrolearje de tiidferfal-aksje op elke klant ynstee fan de standert oan te nimmen.

In cachet kopy is gjin reservekopy. It libbet op ien apparaat, it is bûn oan ien akkount, en it ferdwynt mei in ôfmelding of in wiskjen.

Betingst 3: weromheljen giet net troch de kluis sels

It sirkelfal is maklik om by ûngelok te bouwen: de VPN-beynskippen wurde yn ’e kluis bewarre, de kluis stiet efter de VPN, en it iennige apparaat mei in cache is datjinge dat ferlern gien is. Dan hinget weromheljen ôf fan in dokumint of in persoan bûten it systeem. Skriuw dat opstartpaad op en test it mei in weromhelber akkount foardat immen it nedich hat. In needproseduere dy’t nimmen oefene hat, is allinnich in hope.

Test de folchoarder kontrolearre: befêstigje hokker besteande items offline lêsber bliuwe, werstel dan it netwurkpaad en ferifiearje dat in nije oanmelding en in syngronisaasje beide wurkje. Mij it ôfmelden fan ’e iennige cachete kopy as eksperimint, útsein as der in oare wei werom bestiet. Skriuw op watsto waarnommen hast, ynklusyf de klantferzje.

As weromheljen de kluis freget, mislearret dizze betingst. De oplossing is in dokumintearre bûtenbânpaad, net in sterker warskôging yn it onboardingsdokumint.

Watsto yn elk gefal hâldst: HTTPS, reservekopys en fernijings

HTTPS bliuwt op syn plak sels efter de VPN. It jout de webservice in identiteit dy’t de browser kontrolearje kin en hâldt de ferbining fan de applikaasje beskerme, los fan wêr’t de tunnel einiget. In partikulier einpunt moat brûkers net leare om sertifikaatwarskôgingen fuort te klikken, want dy gewoante folget harren nei iepenbiere siden.

Reservekopys binne in aparte dissipline fan beskikberens. Vaultwarden bewarret syn gegevens yn in databank, en in konsekwinte kopy dy’t nommen wurdt wylst de tsjinst stoppe is, of in reservekopy op databanknivo, is mear wurdich as in bestân dat kopyeard is út in draaiend proses. Hâld de kopy bûten de kluis-host en test in werstel. Eksportearre kluismateriaal hat deselde beskerming nedich as it orizjineel, want in eksport is net fersifere lykas de opslach fan de tsjinner.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Hâld dan de tsjinner en de klanten by de tiid. Tagong allinnich fia VPN ferminderet bleatstelling; it makket in kwetsbere ymplemintaasje net ûnskiedlik en it beskermet gjin kompromittearre einpunt. De trije betingsten beslisse it tagongsmodel, en ûnderhâld beslist oft dat model it jier oerlibbet.