Ar jūsų „Vaultwarden“ saugykla turėtų būti pasiekiama tik per VPN? Trys sąlygos

Pirmasis prisijungimas pakaitiniame telefone yra momentas, kai saugykla, pasiekiama tik per VPN, parodo savo kainą: programėlė neturi podėlio, serveris stovi už tunelio, o tunelio kredencialai gali būti saugykloje, kurios negalite atidaryti. Tai dizaino klausimas, o ne triktis, ir pigiau į jį atsakyti prieš diegimą nei po jo. Trys sąlygos nusprendžia, ar privati saugykla yra praktiška jūsų naudotojams. Jei kuri nors nepavyksta, teisingas atsakymas dažniausiai yra siauresnis atvėrimas, o ne VPN siena.

1 sąlyga: jūsų naudotojai pasiekia serverį pirmą dieną

Naujas įrenginys neturi podėlio, sesijos ir pasitikėjimo. Jam reikia išspręsto serverio pagrindinio vardo, kelio iki jo ir VPN profilio, jau įdiegto prieš naudotojui bandant prisijungti. Jei kas nors iš šių trijų atsiranda tik po pirmojo prisijungimo, diegimas žlunga pačiu blogiausiu momentu. Suskaičiuokite, kiek žingsnių naujas darbuotojas turi atlikti, kol atidarys savo saugyklą.

Padalytas tunelis čia dažnai tinka geriau: perduokite tik saugyklos galinį tašką ir jai reikalingą DNS kelią, o likusį naudotojo srautą palikite ramybėje. Tai maršrutizavimo sprendimas, priimamas su VPN savininku, o ne prielaida, kad kiekvienas mobilusis klientas laikosi tos pačios politikos. Abi adresų šeimos ir paslaugos pagrindinis vardas turi atitikti šį pasirinkimą.

Jei naudotojai negali pasiekti serverio prieš gaudami veikiančius kredencialus, ši sąlyga nepavyksta ir VPN siena yra netinkamos formos.

2 sąlyga: podėlyje saugoma prieiga yra tik skaitoma, ir to pakanka

„Bitwarden“ klientai gali rodyti jau atrakintą saugyklą nepasiekdami serverio, o ta neinternetinė kopija yra tik skaitoma. Ji naudinga nuskaityti slaptažodį trikties metu; tai nėra naujas prisijungimas ir ne redagavimas. Nuspręskite, ar tik skaitoma prieiga priimtina jūsų naudotojams, prieš projektuodami aplink tai.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Užrakinimas ir atsijungimas yra skirtingos būsenos, ir skirtumas čia svarbus. Užrakintas klientas laiko vietinę saugyklą užšifruotą ir gali ją vėl atrakinti pagrindiniu slaptažodžiu arba biometrija; atsijungimas pašalina tą vietinę kopiją ir reikalauja serverio. Jei palaikymo scenarijus liepia naudotojams atsijungti ir vėl prisijungti, kad ištaisytų sinchronizavimo problemą, jis taip pat pašalina jų neinternetinę prieigą. Tikrinkite skirtąją veiksmą kiekviename kliente, o ne manykite numatytąją reikšmę.

Podėlyje saugoma kopija nėra atsarginė kopija. Ji gyvena viename įrenginyje, yra susieta su viena paskyra ir išnyksta atsijungus ar išvalius.

3 sąlyga: atkūrimas neina per pačią saugyklą

Žiedinį atvejį lengva sukurti netyčia: VPN kredencialai saugomi saugykloje, saugykla yra už VPN, o vienintelis įrenginys su podėliu yra tas, kuris buvo pamestas. Tada atkūrimas priklauso nuo dokumento ar asmens už sistemos ribų. Užrašykite tą paleidimo kelią ir išbandykite jį su atkuriama paskyra, prieš kam nors jo prireikiant. Avarinė procedūra, kurios niekas nepraktikavo, yra tik viltis.

Išbandykite seką kontroliuojamai: patvirtinkite, kurie esami elementai lieka skaitomi neprisijungus, tada atkurkite tinklo kelią ir patikrinkite, ar naujas prisijungimas ir sinchronizavimas abu veikia. Venkite atsijungti nuo vienintelės podėlyje saugomos kopijos kaip eksperimento, nebent yra kitas kelias atgal. Užrašykite, ką pastebėjote, įskaitant kliento versiją.

Jei atkūrimui reikia saugyklos, ši sąlyga nepavyksta. Sprendimas yra dokumentuotas užkanalinis kelias, o ne griežtesnis įspėjimas įvado dokumente.

Ką vis tiek išsaugote: HTTPS, atsargines kopijas ir atnaujinimus

HTTPS lieka savo vietoje net už VPN. Jis suteikia žiniatinklio paslaugai tapatybę, kurią naršyklė gali patikrinti, ir palaiko programos ryšį apsaugotą nepriklausomai nuo to, kur baigiasi tunelis. Privatus galinis taškas neturėtų mokyti naudotojų apeiti sertifikatų įspėjimų, nes šis įprotis juos lydi ir viešose svetainėse.

Atsarginės kopijos yra atskira disciplina nuo prieinamumo. „Vaultwarden“ saugo duomenis duomenų bazėje, o nuosekli kopija, padaryta sustabdžius paslaugą, arba duomenų bazės lygio atsarginė kopija yra vertingesnė už failą, nukopijuotą iš veikiančio proceso. Laikykite kopiją už saugyklos pagrindinio kompiuterio ir išbandykite atkūrimą. Eksportuota saugyklos medžiaga reikalauja tokios pačios apsaugos kaip originalas, nes eksportas nėra užšifruotas taip, kaip serverio saugykla.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Tada palaikykite serverį ir klientus atnaujintus. Prieiga tik per VPN mažina atvėrimą; ji nepadaro pažeidžiamos realizacijos nekenksmingos ir neapsaugo pažeisto galinio taško. Trys sąlygos nusprendžia prieigos modelį, o priežiūra nusprendžia, ar tas modelis išgyvens metus.