Soll däi Vaultwarden-Tresor nëmmen iwwer VPN erreechbar sinn? Dräi Bedingungen

Déi éischt Aloggen op engem Ersatztelefon ass dee Moment, wou en Tresor, deen nëmmen iwwer VPN erreechbar ass, säi Präis weist: d’App huet kee Cache, de Server steet hannert engem Tunnel, an d’Tunnel-Identitéite kënnen an deem Tresor sinn, deen s du net opmaache kanns. Dat ass eng Fro vum Design an net eng Stéierung, an et ass méi bëlleg, se virum Rollout ze beäntweren wéi duerno. Dräi Bedingungen entscheeden, ob en private Tresor fir däi Benotzer praktikabel ass. Wann eng dovunner feelt, ass déi richteg Äntwert meeschtens eng méi enk Expositioun an net eng VPN-Mauer.

Bedingung 1: däi Benotzer erreecht de Server um éischten Dag

En neit Gerät huet kee Cache, keng Sessioun an keen Vertrauen. Et brauch den opgeléisten Hostnumm vum Server, de Wee dohin an e VPN-Profil, dee schonn installéiert ass, ier de Benotzer probéiert sech unzemellen. Wann eng vun dësen dräi just nom éischten Aloggen ukënnt, feelt de Rollout am schlechsten méiglechen Ament. Ziel, wéi vill Schrëtt en neie Mataarbechter misst maachen, ier en säin Tresor opmaache kann.

En opgedeilten Tunnel passt hei dacks besser: transportéier just den Endpunkt vum Tresor an de DNS-Wee, deen en brauch, a lass de Rescht vum Trafic vum Benotzer a Rou. Dat ass eng Routing-Entscheedung, déi een mam Besëtzer vum VPN hëlt, an net d’Unhuel, datt all mobilen Client déi selwecht Politik respektéiert. Déi zwou Adressfamillen an den Hostnumm vum Service musse mat dëser Wiel iwwerenee stëmmen.

Wann d’Benotzer de Server net erreeche kënnen, ier se funktionéierend Identitéite hunn, feelt dës Bedingung an d’VPN-Mauer huet déi falsch Form.

Bedingung 2: de gecachte Zougang ass lies-only, an dat duet

Bitwarden-Cliënte kënnen en Tresor, dee schonn opgeschloss ass, weisen, ouni de Server z’erreechen, an déi Offline-Kopie ass lies-only. Se ass nëtzlech, fir während enger Stéierung e Passwuert ze liesen; se ass keen neien Aloggen a keng Ännerung. Entscheet, ob lies-only fir däi Benotzer akzeptabel ass, ier s du ronderëm designst.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Spären an Ofmellen sinn ënneschidlech Zoustänn, an den Ënnerscheed ass hei wichteg. En gespaarte Client hält den lokalen Tresor verschlësselt a kann en nees mam Haaptpasswuert oder Biomass opmaachen; Ofmellen huele vun där lokaler Kopie ewech a verlaangen de Server. Wann e Support-Skript dem Benotzer seet, sech of- an nees unzemellen, fir e Synchronisatiounsproblem ze behiewen, hëlt et hinnen och den Offline-Zougang. Préif d’Timeout-Aktioun op all Client, amplaz de Standard unzehuelen.

Eng gecachte Kopie ass kee Backup. Se liewt op engem eenzegen Apparat, ass un ee Kont gebonnen, a si verschwënnt mat engem Ofmellen oder engem Läschen.

Bedingung 3: d’Erhuelung geet net iwwer den Tresor selwer

De Kreesfall ass liicht aus Versehen ze bauen: d’VPN-Identitéit läit am Tresor, den Tresor ass hannert dem VPN, an deen eenzegen Apparat mat engem Cache ass deen, deen verluer gaangen ass. Dann hänkt d’Erhuelung vun engem Dokument oder enger Persoun ausserhalb vum System of. Schreif dee Bootstrap-Wee op a test en mat engem Kont, deen erhuelbar ass, ier een en brauch. Eng Noutfallprozedur, déi keen iwwerholl huet, ass just eng Hoffnung.

Test d’Reiefolleg kontrolléiert: bestätegt, wéi eng bestoend Elementer offline liesbar bleiwen, restauréier dann den Netzwee a verifizéier, datt en neien Aloggen an eng Synchronisatioun allebéid funktionéieren. Vermeid et, als Experiment vun der eenzeger gecachter Kopie ofzemellen, ausser et gëtt en anere Wee zréck. Notéier, wat s du observéiert hues, inklusiv d’Versioun vum Client.

Wann d’Erhuelung den Tresor erfuerdert, feelt dës Bedingung. D’Léisung ass en dokumentéierten Out-of-Band-Wee, an net eng méi staark Warnung am Onboarding-Dokument.

Wat s du op alle Fall behält: HTTPS, Backups an Updates

HTTPS bleift op sengem Plaz, och hannert dem VPN. Et gëtt dem Web-Service eng Identitéit, déi de Browser ka kontrolléieren, an hält d’Verbindung vun der Applikatioun geschützt, egal wou den Tunnel ophält. En private Endpunkt soll dem Benotzer net bäibréngen, Certificatswarnungen ze iwwersprangen, well déi Gewunnecht hinnen op ëffentlech Säite follegt.

Backupen sinn eng eegen Disziplin, getrennt vun der Disponibilitéit. Vaultwarden späichert seng Donnéeën an enger Datebank, an eng konsequent Kopie, déi geholl gëtt, wärend de Service gestoppt ass, oder e Backup op Datebankniveau ass méi wäert wéi eng Datei, déi aus engem lafende Prozess kopéiert gouf. Hal d’Kopie baussen dem Host vum Tresor a test eng Restauratioun. Exportéiert Material vum Tresor brauch dee selwechte Schutz wéi d’Original, well en Export net esou verschlësselt ass wéi de Späicher vum Server.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Hal duerno de Server an d’Cliënten um neiste Stand. Zougang just iwwer VPN reduzéiert d’Expositioun; et mécht eng vulnérabel Implémentatioun net harmlos an et schützt keen iwwerhollenen Endpunkt. Déi dräi Bedingungen entscheeden de Zougangsmodell, an d’Ënnerhalt entscheet, ob dee Modell d’Joer iwwersteet.