Ætti Vaultwarden-hólfið þitt að vera aðeins aðgengilegt gegnum VPN? Þrjú skilyrði

Fyrsta innskráning í varasíma er þar sem hólf sem er aðeins aðgengilegt gegnum VPN sýnir kostnað sinn: appið hefur ekkert skyndiminni, þjónninn stendur bak við göng og skírteini gangsins geta verið inni í hólfinu sem þú getur ekki opnað. Þetta er hönnunarspurning en ekki bilun, og ódýrara er að svara henni fyrir uppsetningu en eftir. Þrjú skilyrði ákvarða hvort einkahólf sé raunhæft fyrir notendur þína. Ef eitthvað þeirra bregst er rétta svarið yfirleitt þrengri útsetning en VPN-veggur.

Skilyrði 1: notendur þínir ná þjóninum fyrsta daginn

Nýtt tæki hefur ekkert skyndiminni, enga setu og ekkert traust. Það þarf að leysa hýsilnafn þjónsins, slóð til að ná til hans og VPN-snið sem þegar er uppsett áður en notandinn reynir að skrá sig inn. Ef eitthvað af þessum þremur kemur aðeins eftir fyrstu innskráningu mistekst uppsetningin á versta mögulega augnabliki. Teldu hversu mörg skref nýr starfsmaður þarf að ljúka áður en hann getur opnað hólfið sitt.

Skipt göng henta oft betur hér: flyttu aðeins endapunkt hólfsins og DNS-slóðina sem það þarf, og láttu afganginn af umferð notandans í friði. Þetta er leiðsagnarákvörðun sem tekin er með eiganda VPN-ins, ekki forsenda þess að hver farsímaklient fylgi sömu stefnu. Báðar vistfangafjölskyldur og hýsilnafn þjónustunnar verða að stemma við þessa ákvörðun.

Ef notendur komast ekki á þjóninn áður en þeir hafa virk skírteini mistekst þetta skilyrði og VPN-veggurinn hefur rangt form.

Skilyrði 2: aðgangur úr skyndiminni er aðeins lesinn, og það nægir

Bitwarden-klientar geta sýnt þegar opnað hólf án þess að ná í þjóninn, og það ónetbundna afrit er aðeins lesið. Það er gagnlegt til að lesa lykilorð í bilun; það er ekki ný innskráning og ekki ritstjórn. Ákveddu hvort aðeins lesið sé ásættanlegt fyrir notendur þína áður en þú hannar í kringum það.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Læsing og útskráning eru mismunandi ástand, og munurinn skiptir máli hér. Læstur klient heldur staðbundnu hólfi dulkóðuðu og getur opnað það aftur með aðallykilorðinu eða líffræðilegri auðkenningu; útskráning fjarlægir það staðbundna afrit og krefst þjónsins. Ef stuðningsskrift segir notendum að skrá sig út og inn aftur til að laga samstillingarvandamál fjarlægir hún líka ónetbundinn aðgang þeirra. Athugaðu tímamörkin í hverjum klient í stað þess að gera ráð fyrir sjálfgefnu gildi.

Afrit í skyndiminni er ekki öryggisafrit. Það lifir á einu tæki, er bundið einum reikningi og hverfur við útskráningu eða þurrkun.

Skilyrði 3: endurheimt fer ekki í gegnum hólfið sjálft

Hringferlið er auðvelt að byggja fyrir slysni: VPN-skírteinið er geymt í hólfinu, hólfið er bak við VPN-ið og eina tækið með skyndiminni er það sem týndist. Þá er endurheimtin háð skjali eða manneskju utan kerfisins. Skrifaðu þá ræsingarleið niður og prófaðu hana með reikningi sem hægt er að endurheimta áður en einhver þarf á henni að halda. Neyðarferli sem enginn hefur æft er aðeins von.

Prófaðu röðina á stýrðan hátt: staðfestu hvaða fyrirliggjandi atriði haldast læsileg ónetbundið, endurheimtu síðan netleiðina og staðfestu að ný innskráning og samstilling virki bæði. Forðastu að skrá þig út af eina skyndiminnisafritinu sem tilraun nema önnur leið til baka sé til. Skráðu það sem þú sátt, þar á meðal útgáfu klientsins.

Ef endurheimtin krefst hólfsins mistekst þetta skilyrði. Lausnin er skjalfest leið utan bands, ekki harðari viðvörun í kynningarskjalinu.

Það sem þú heldur í öllum tilvikum: HTTPS, öryggisafrit og uppfærslur

HTTPS helst á sínum stað jafnvel bak við VPN-ið. Það gefur vefþjónustunni auðkenni sem vafrinn getur staðfest og heldur tengingu appsins varinni óháð því hvar göngin enda. Einkendapunktur ætti ekki að kenna notendum að smella fram hjá skírteinisviðvörunum, því sú venja fylgir þeim á opinberar vefsíður.

Öryggisafrit eru sérstök grein frá tiltækileika. Vaultwarden geymir gögn sín í gagnagrunni, og samkvæmt afrit tekið meðan þjónustan er stöðvuð, eða öryggisafrit á gagnagrunnsstigi, er meira virði en skrá afrituð úr keyrandi ferli. Haltu afritinu utan hýsils hólfsins og prófaðu endurheimt. Útflutt hólfefni þarf sömu vernd og frumritið, því útflutningur er ekki dulkóðaður eins og geymsla þjónsins.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Haltu síðan þjóninum og klientunum uppfærðum. Aðgangur aðeins gegnum VPN dregur úr útsetningu; hann gerir veika útfærslu ekki skaðlausa og verndar ekki afsakaðan endapunkt. Þrjú skilyrði ákvarða aðgangslíkanið og viðhald ákvarðar hvort það líkan lifir árið.