A súa caixa forte de Vaultwarden debería ser só por VPN? Tres condicións

O primeiro inicio de sesión nun teléfono de substitución é onde unha caixa forte só por VPN mostra o seu custo: a aplicación non ten caché, o servidor está detrás dun túnel e a credencial do túnel pode estar dentro da caixa forte que non pode abrir. É unha cuestión de deseño e non unha caída, e é máis barato responder antes do despregamento que despois. Tres condicións deciden se unha caixa forte privada é práctica para os seus usuarios. Se algunha falla, a resposta correcta adoita ser unha exposición máis estreita e non un muro de VPN.

Condición 1: os seus usuarios chegan ao servidor o primeiro día

Un dispositivo novo non ten caché, nin sesión, nin confianza. Necesita que se resolva o nome de host do servidor, a ruta para chegar a el e un perfil de VPN xa instalado antes de que o usuario intente iniciar sesión. Se calquera deses tres chega só despois do primeiro inicio de sesión, o despregamento falla no peor momento posible. Conte cantos pasos debe completar unha persoa nova antes de poder abrir a súa caixa forte.

Un túnel dividido adoita encaixar mellor aquí: transporte só o extremo da caixa forte e a ruta de DNS que necesita, e deixe tranquilo o resto do tráfico do usuario. É unha decisión de encamiñamento que se toma co propietario da VPN, non unha suposición de que cada cliente móbil respecta a mesma política. As dúas familias de enderezos e o nome de host do servizo deben ser coherentes con esa elección.

Se os usuarios non poden chegar ao servidor antes de teren credenciais que funcionen, esta condición falla e o muro de VPN ten a forma equivocada.

Condición 2: o acceso en caché é de só lectura, e iso abonda

Os clientes de Bitwarden poden mostrar unha caixa forte xa desbloqueada sen chegar ao servidor, e esa copia fóra de liña é de só lectura. Serve para ler un contrasinal durante unha caída; non é un inicio de sesión novo nin é edición. Decida se a só lectura é aceptable para os seus usuarios antes de deseñar arredor dela.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Bloquear e pechar a sesión son estados distintos, e a diferenza importa aquí. Un cliente bloqueado mantén a caixa forte local cifrada e pode desbloqueala de novo co contrasinal principal ou coa biometría; pechar a sesión elimina esa copia local e esixe o servidor. Se un script de soporte di aos usuarios que pechen a sesión e volvan entrar para arranxar un problema de sincronización, tamén elimina o seu acceso fóra de liña. Revise a acción de tempo de espera en cada cliente en lugar de supoñer o valor predeterminado.

Unha copia en caché non é unha copia de seguridade. Vive nun só dispositivo, está ligada a unha soa conta e desaparece cun peche de sesión ou un borrado.

Condición 3: a recuperación non pasa pola propia caixa forte

O caso circular é fácil de construír por accidente: a credencial da VPN gárdase na caixa forte, a caixa forte está detrás da VPN e o único dispositivo con caché é o que se perdeu. Entón a recuperación depende dun documento ou dunha persoa fóra do sistema. Escriba esa ruta de arranque e próbea cunha conta recuperable antes de que alguén a necesite. Un procedemento de emerxencia que ninguén practicou é só unha esperanza.

Probe a secuencia de forma controlada: confirme que elementos existentes seguen sendo lexibles fóra de liña, despois restaure a ruta de rede e verifique que un inicio de sesión novo e unha sincronización funcionan. Evite pechar a sesión na única copia en caché como experimento, salvo que exista outra ruta de volta. Anote o que observou, incluída a versión do cliente.

Se a recuperación require a caixa forte, esta condición falla. A solución é unha ruta fóra de banda documentada, non un aviso máis forte no documento de incorporación.

O que conserva en calquera caso: HTTPS, copias de seguridade e actualizacións

HTTPS segue no seu sitio mesmo detrás da VPN. Dá ao servizo web unha identidade que o navegador pode comprobar e mantén a conexión da aplicación protexida con independencia de onde remate o túnel. Un extremo privado non debería ensinar aos usuarios a saltar os avisos de certificado, porque ese hábito séguelles ata os sitios públicos.

As copias de seguridade son unha disciplina distinta da dispoñibilidade. Vaultwarden garda os seus datos nunha base de datos, e unha copia coherente tomada co servizo detido, ou unha copia a nivel de base de datos, vale máis que un ficheiro copiado dun proceso en marcha. Manteña a copia fóra do host da caixa forte e probe unha restauración. O material exportado da caixa forte necesita a mesma protección que o orixinal, porque unha exportación non está cifrada como o almacenamento do servidor.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Despois manteña actualizados o servidor e os clientes. O acceso só por VPN reduce a exposición; non fai inofensiva unha implementación vulnerable nin protexe un extremo comprometido. As tres condicións deciden o modelo de acceso, e o mantemento decide se ese modelo sobrevive o ano.