Vai jūsu Vaultwarden glabātuvei jābūt pieejamai tikai caur VPN? Trīs nosacījumi

Pirmā pieteikšanās rezerves telefonā ir brīdis, kad glabātuve, kas pieejama tikai caur VPN, parāda savu cenu: lietotnei nav kešatmiņas, serveris stāv aiz tuneļa, un tuneļa akreditācijas dati var atrasties glabātuvē, kuru jūs nevarat atvērt. Tas ir dizaina jautājums, nevis pārtraukums, un lētāk ir atbildēt pirms ieviešanas nekā pēc tam. Trīs nosacījumi izšķir, vai privāta glabātuve ir praktiska jūsu lietotājiem. Ja kāds no tiem neizdodas, pareizā atbilde parasti ir šaurāka pakļautība, nevis VPN siena.

1. nosacījums: jūsu lietotāji sasniedz serveri pirmajā dienā

Jaunai ierīcei nav kešatmiņas, nav sesijas un nav uzticības. Tai vajag atrisinātu servera resursdatora nosaukumu, maršrutu uz to un VPN profilu, kas jau instalēts, pirms lietotājs mēģina pieteikties. Ja kāds no šiem trim pienāk tikai pēc pirmās pieteikšanās, ieviešana neizdodas sliktākajā iespējamajā brīdī. Saskaitiet, cik soļu jaunam darbiniekam jāveic, pirms viņš var atvērt savu glabātuvi.

Sadalīts tunelis šeit bieži der labāk: pārsūtiet tikai glabātuves galapunktu un tam nepieciešamo DNS ceļu, un atstājiet pārējo lietotāja datplūsmu mierā. Tas ir maršrutēšanas lēmums, kas pieņemams kopā ar VPN īpašnieku, nevis pieņēmums, ka katrs mobilais klients ievēro vienu un to pašu politiku. Abām adrešu saimēm un pakalpojuma resursdatora nosaukumam jāsaskan ar šo izvēli.

Ja lietotāji nevar sasniegt serveri, pirms viņiem ir derīgi akreditācijas dati, šis nosacījums neizdodas un VPN sienai ir nepareiza forma.

2. nosacījums: kešatmiņā saglabātā piekļuve ir tikai lasāma, un ar to pietiek

Bitwarden klienti var parādīt jau atslēgtu glabātuvi, nesasniedzot serveri, un šī bezsaistes kopija ir tikai lasāma. Tā noder, lai pārtraukuma laikā nolasītu paroli; tā nav jauna pieteikšanās un nav rediģēšana. Izlemiet, vai tikai lasīšana ir pieņemama jūsu lietotājiem, pirms projektējat ap to.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Bloķēšana un izrakstīšanās ir dažādi stāvokļi, un atšķirība šeit ir svarīga. Bloķēts klients tur vietējo glabātuvi šifrētu un var to atkal atslēgt ar galveno paroli vai biometriju; izrakstīšanās noņem šo vietējo kopiju un prasa serveri. Ja atbalsta skripts liek lietotājiem izrakstīties un pieteikties no jauna, lai labotu sinhronizācijas problēmu, tas noņem arī viņu bezsaistes piekļuvi. Pārbaudiet noildzes darbību katrā klientā, nevis pieņemiet noklusējuma vērtību.

Kešatmiņā saglabāta kopija nav dublējums. Tā dzīvo vienā ierīcē, ir piesaistīta vienam kontam, un tā pazūd ar izrakstīšanos vai dzēšanu.

3. nosacījums: atjaunošana neiet caur pašu glabātuvi

Ciklisko gadījumu ir viegli nejauši izveidot: VPN akreditācijas dati glabājas glabātuvē, glabātuve atrodas aiz VPN, un vienīgā ierīce ar kešatmiņu ir tā, kas pazuda. Tad atjaunošana ir atkarīga no dokumenta vai personas ārpus sistēmas. Pierakstiet šo sāknēšanas ceļu un pārbaudiet to ar atjaunojamu kontu, pirms kādam tas nepieciešams. Ārkārtas procedūra, ko neviens nav trenējis, ir tikai cerība.

Pārbaudiet secību kontrolēti: apstipriniet, kuri esošie elementi paliek lasāmi bezsaistē, pēc tam atjaunojiet tīkla ceļu un pārbaudiet, vai jauna pieteikšanās un sinhronizācija abas darbojas. Izvairieties no izrakstīšanās no vienīgās kešatmiņā saglabātās kopijas kā eksperimenta, ja vien nav cita ceļa atpakaļ. Pierakstiet, ko novērojāt, tostarp klienta versiju.

Ja atjaunošanai nepieciešama glabātuve, šis nosacījums neizdodas. Risinājums ir dokumentēts ārpusjoslas ceļš, nevis stingrāks brīdinājums ievadīšanas dokumentā.

Ko jūs jebkurā gadījumā saglabājat: HTTPS, dublējumus un atjauninājumus

HTTPS paliek savā vietā pat aiz VPN. Tas piešķir tīmekļa pakalpojumam identitāti, ko pārlūks var pārbaudīt, un uztur lietotnes savienojumu aizsargātu neatkarīgi no tā, kur beidzas tunelis. Privātam galapunktam nevajadzētu mācīt lietotājiem apiet sertifikātu brīdinājumus, jo šis ieradums viņiem seko arī publiskās vietnēs.

Dublējumi ir atsevišķa disciplīna no pieejamības. Vaultwarden glabā datus datubāzē, un konsekvents dublējums, kas ņemts, kad pakalpojums ir apturēts, vai datubāzes līmeņa dublējums ir vērtīgāks par failu, kas nokopēts no darbojošas procesa. Glabājiet kopiju ārpus glabātuves resursdatora un pārbaudiet atjaunošanu. Eksportētais glabātuves materiāls prasa tādu pašu aizsardzību kā oriģināls, jo eksports nav šifrēts tā, kā ir servera krātuve.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Pēc tam uzturiet serveri un klientus atjauninātus. Piekļuve tikai caur VPN samazina pakļautību; tā nepadara ievainojamu ieviešanu nekaitīgu un neaizsargā kompromitētu galapunktu. Trīs nosacījumi izšķir piekļuves modeli, un uzturēšana izšķir, vai šis modelis pārdzīvos gadu.