Vaultwardenの保管庫はVPN経由だけにすべきか。三つの条件

代替のスマートフォンで最初にログインするときこそ、VPN経由だけで使う保管庫のコストが現れます。アプリにはキャッシュがなく、サーバーはトンネルの向こうにあり、トンネルの資格情報は開けない保管庫の中にあるかもしれません。これは障害ではなく設計の問いであり、展開の前に答えるほうが後から答えるより安く済みます。三つの条件が、私的な保管庫が利用者にとって実用的かどうかを決めます。どれか一つでも満たせないなら、正しい答えは通常、VPNの壁ではなくより狭い露出です。

条件1 利用者が初日にサーバーへ到達できる

新しい端末にはキャッシュもセッションも信頼もありません。サーバーのホスト名が解決されること、そこへ至る経路、そして利用者がサインインを試みる前にインストール済みのVPNプロファイルが必要です。この三つのどれかが最初のログインの後でしか届かないなら、展開は最悪の瞬間に失敗します。新しい担当者が保管庫を開くまでに何段階を終える必要があるかを数えてください。

分割トンネルはここでよく合います。保管庫の端点と必要なDNS経路だけを運び、利用者の残りの通信はそのままにします。これはVPNの所有者と決める経路の判断であり、すべてのモバイルクライアントが同じ方針に従うという仮定ではありません。両方のアドレス体系とサービスのホスト名がこの選択と整合している必要があります。

利用者が有効な資格情報を得る前にサーバーへ到達できないなら、この条件は満たされず、VPNの壁は形が違います。

条件2 キャッシュされたアクセスは読み取り専用で、それで足りる

Bitwardenのクライアントは、サーバーへ届かなくてもすでに解錠された保管庫を表示でき、そのオフラインの複製は読み取り専用です。障害の間にパスワードを読むには役立ちますが、新しいログインでも編集でもありません。読み取り専用で足りるかを、その前提で設計する前に決めてください。

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

ロックとログアウトは別の状態であり、ここではその違いが重要です。ロックしたクライアントはローカルの保管庫を暗号化したまま保ち、マスターパスワードや生体認証で再び解錠できます。ログアウトはそのローカルの複製を削除し、サーバーを必要とします。サポート用のスクリプトが同期の不具合を直すためにログアウトと再ログインを指示するなら、それはオフラインのアクセスも奪います。既定値を仮定せず、各クライアントのタイムアウト動作を確認してください。

キャッシュされた複製はバックアップではありません。一つの端末に住み、一つのアカウントに結び付き、ログアウトや消去で消えます。

条件3 復元は保管庫そのものを通らない

循環する事例はうっかり作りやすいものです。VPNの資格情報は保管庫に保存され、保管庫はVPNの向こうにあり、キャッシュのある唯一の端末は失われたものです。そのとき復元は、システムの外にある文書や人に依存します。その起動手順を書き留め、誰かが必要とする前に復元可能なアカウントで試してください。誰も練習していない緊急手順は、ただの希望です。

手順を統制された形で試します。どの既存項目がオフラインでも読めるかを確認し、次にネットワーク経路を戻し、新しいログインと同期の両方が動くことを確かめます。他の戻り道がない限り、唯一のキャッシュ済み複製からログアウトする実験は避けてください。観察したことをクライアントの版とともに記録してください。

復元に保管庫が必要なら、この条件は満たされません。直し方は文書化された帯域外の経路であり、導入文書の警告を強めることではありません。

どちらでも保つもの HTTPS、バックアップ、更新

HTTPSはVPNの背後でもそのまま残ります。ブラウザーが確認できる身元をウェブサービスに与え、トンネルがどこで終わるかとは無関係にアプリの接続を保護します。私的な端点は、証明書の警告を押し切る癖を利用者に教えるべきではありません。その癖は公開サイトにも付いて回ります。

バックアップは可用性とは別の規律です。Vaultwardenはデータをデータベースに保存し、サービスを止めた状態で取る整合した複製やデータベース水準のバックアップは、動作中のプロセスから写したファイルより価値があります。複製は保管庫のホストの外に置き、復元を試してください。書き出した保管庫の素材は原本と同じ保護を要します。書き出しはサーバーの保存領域のようには暗号化されないからです。

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

そのうえでサーバーとクライアントを更新し続けてください。VPN経由だけのアクセスは露出を減らしますが、脆弱な実装を無害にはせず、侵害された端点も守りません。三つの条件がアクセスの型を決め、保守がその型が一年を越えるかを決めます。