Треба ли вашиот трезор Vaultwarden да биде достапен само преку VPN? Три услови

Првото најавување на резервен телефон е моментот кога трезор достапен само преку VPN ја покажува својата цена: апликацијата нема кеш, серверот стои зад тунел, а акредитивите за тунелот може да се внатре во трезорот што не можете да го отворите. Тоа е прашање на дизајн, а не прекин, и поевтино е да се одговори пред распоредувањето отколку потоа. Три услови решаваат дали приватен трезор е практичен за вашите корисници. Ако некој од нив не успее, вистинскиот одговор обично е потесно изложување, а не VPN ѕид.

Услов 1: вашите корисници стигнуваат до серверот уште првиот ден

Новиот уред нема кеш, нема сесија и нема доверба. Му треба разрешено име на домаќин на серверот, маршрута до него и VPN профил што е веќе инсталиран пред корисникот да се обиде да се најави. Ако некое од тие три пристигне само по првото најавување, распоредувањето пропаѓа во најлошиот можен момент. Избројте колку чекори нов вработен мора да помине пред да го отвори својот трезор.

Разделен тунел често е подобра опција овде: пренесете само крајната точка на трезорот и DNS патеката што му треба, а остатокот од сообраќајот на корисникот оставете го на мир. Тоа е одлука за рутирање што се носи со сопственикот на VPN, а не претпоставка дека секој мобилен клиент ја почитува истата политика. Двете адресни фамилии и името на домаќин на услугата мора да бидат во согласност со овој избор.

Ако корисниците не можат да стигнат до серверот пред да имаат работни акредитиви, овој услов не успева и VPN ѕидот има погрешен облик.

Услов 2: кешираниот пристап е само за читање, и тоа е доволно

Клиентите на Bitwarden можат да прикажат веќе отклучен трезор без да стигнат до серверот, и таа офлајн копија е само за читање. Корисна е за читање лозинка за време на прекин; не е ново најавување и не е уредување. Одлучете дали само читањето е прифатливо за вашите корисници пред да дизајнирате околу тоа.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Заклучувањето и одјавувањето се различни состојби, и разликата е важна овде. Заклучен клиент го држи локалниот трезор шифриран и може повторно да го отклучи со главната лозинка или биометрија; одјавувањето ја отстранува таа локална копија и бара сервер. Ако скрипта за поддршка им кажува на корисниците да се одјават и повторно да се најават за да поправат проблем со синхронизација, таа го отстранува и нивниот офлајн пристап. Проверете ја акцијата при истекување на времето на секој клиент наместо да ја претпоставувате стандардната.

Кешираната копија не е резервна копија. Живее на еден уред, врзана е за една сметка и исчезнува со одјавување или бришење.

Услов 3: враќањето не оди низ самиот трезор

Кружниот случај лесно се гради случајно: акредитивите за VPN се чуваат во трезорот, трезорот е зад VPN, а единствениот уред со кеш е оној што е изгубен. Тогаш враќањето зависи од документ или лице надвор од системот. Запишете ја таа патека за подигање и тестирајте ја со сметка што може да се врати пред некому да му затреба. Итна постапка што никој не ја вежбал е само надеж.

Тестирајте ја низата контролирано: потврдете кои постоечки ставки остануваат читливи офлајн, потоа вратете ја мрежната патека и проверете дали новото најавување и синхронизацијата работат. Избегнувајте одјавување од единствената кеширана копија како експеримент, освен ако постои друг пат назад. Забележете што сте набљудувале, вклучително верзијата на клиентот.

Ако враќањето бара трезор, овој услов не успева. Поправката е документирана вонпојасна патека, а не посилно предупредување во документот за воведување.

Што задржувате во секој случај: HTTPS, резервни копии и ажурирања

HTTPS останува на место дури и зад VPN. Им дава на веб услугата идентитет што прелистувачот може да го провери и ја држи врската на апликацијата заштитена независно од тоа каде завршува тунелот. Приватна крајна точка не треба да ги учи корисниците да ги прескокнуваат предупредувањата за сертификати, бидејќи таа навика ги следи на јавните локации.

Резервните копии се посебна дисциплина од достапноста. Vaultwarden ги чува податоците во база на податоци, а конзистентна копија земена додека услугата е запрена, или резервна копија на ниво на база, вреди повеќе од датотека копирана од процес што работи. Држете ја копијата надвор од домаќинот на трезорот и тестирајте враќање. Извезениот материјал од трезорот бара иста заштита како оригиналот, бидејќи извозот не е шифриран како складиштето на серверот.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Потоа држете ги серверот и клиентите ажурирани. Пристапот само преку VPN го намалува изложувањето; тој не ја прави ранливата имплементација безопасна и не штити компромитирана крајна точка. Трите услови го одредуваат моделот на пристап, а одржувањето одредува дали тој модел ќе ја преживее годината.