Patutkah peti besi Vaultwarden anda hanya melalui VPN? Tiga syarat

Log masuk pertama pada telefon ganti ialah saat peti besi yang hanya melalui VPN menunjukkan kosnya: aplikasi tiada cache, pelayan berada di belakang terowong, dan kelayakan terowong mungkin berada di dalam peti besi yang anda tidak dapat membuka. Ini persoalan reka bentuk, bukan gangguan perkhidmatan, dan lebih murah menjawabnya sebelum penggunaan daripada selepasnya. Tiga syarat menentukan sama ada peti besi peribadi praktikal untuk pengguna anda. Jika mana-mana satu gagal, jawapan yang betul biasanya pendedahan yang lebih sempit, bukan tembok VPN.

Syarat 1: pengguna anda mencapai pelayan pada hari pertama

Peranti baharu tiada cache, tiada sesi dan tiada kepercayaan. Ia memerlukan nama hos pelayan diselesaikan, laluan untuk mencapainya, dan profil VPN yang sudah dipasang sebelum pengguna cuba masuk. Jika mana-mana daripada tiga itu hanya tiba selepas log masuk pertama, penggunaan gagal pada saat paling buruk. Kira berapa langkah yang perlu dilengkapkan oleh pekerja baharu sebelum dia boleh membuka peti besinya.

Terowong terpisah selalunya lebih sesuai di sini: bawa hanya titik hujung peti besi dan laluan DNS yang diperlukannya, dan biarkan trafik pengguna yang lain seperti biasa. Ini keputusan penghalaan yang dibuat bersama pemilik VPN, bukan andaian bahawa setiap klien mudah alih mematuhi dasar yang sama. Kedua-dua keluarga alamat dan nama hos perkhidmatan mesti selaras dengan pilihan itu.

Jika pengguna tidak dapat mencapai pelayan sebelum mempunyai kelayakan yang berfungsi, syarat ini gagal dan tembok VPN mempunyai bentuk yang salah.

Syarat 2: capaian dalam cache ialah baca sahaja, dan itu memadai

Klien Bitwarden boleh memaparkan peti besi yang sudah dibuka tanpa mencapai pelayan, dan salinan luar talian itu adalah baca sahaja. Ia berguna untuk membaca kata laluan semasa gangguan; ia bukan log masuk baharu dan bukan penyuntingan. Putuskan sama ada baca sahaja boleh diterima oleh pengguna anda sebelum mereka bentuk di sekitarnya.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Mengunci dan log keluar ialah keadaan berbeza, dan perbezaannya penting di sini. Klien berkunci menyimpan peti besi tempatan dalam keadaan disulitkan dan boleh membukanya semula dengan kata laluan utama atau biometrik; log keluar menghapuskan salinan tempatan itu dan memerlukan pelayan. Jika skrip sokongan menyuruh pengguna log keluar dan masuk semula untuk membaiki masalah penyegerakan, ia juga menghapuskan capaian luar talian mereka. Semak tindakan tamat masa pada setiap klien dan jangan andaikan nilai lalai.

Salinan dalam cache bukan sandaran. Ia hidup pada satu peranti, terikat pada satu akaun, dan hilang dengan log keluar atau pemadaman.

Syarat 3: pemulihan tidak melalui peti besi itu sendiri

Kes bulat mudah dibina secara tidak sengaja: kelayakan VPN disimpan di dalam peti besi, peti besi berada di belakang VPN, dan satu-satunya peranti dengan cache ialah peranti yang hilang. Pemulihan kemudian bergantung pada dokumen atau orang di luar sistem. Tulis laluan but itu dan ujinya dengan akaun yang boleh dipulihkan sebelum sesiapa memerlukannya. Prosedur kecemasan yang tidak pernah dilatih oleh sesiapa hanyalah harapan.

Uji urutan secara terkawal: sahkan item sedia ada yang masih boleh dibaca di luar talian, kemudian pulihkan laluan rangkaian dan sahkan log masuk baharu serta penyegerakan kedua-duanya berfungsi. Elakkan log keluar daripada satu-satunya salinan dalam cache sebagai eksperimen, kecuali ada jalan kembali yang lain. Catat apa yang anda perhatikan, termasuk versi klien.

Jika pemulihan memerlukan peti besi, syarat ini gagal. Pembaikannya ialah laluan luar jalur yang didokumenkan, bukan amaran yang lebih keras dalam dokumen orientasi.

Apa yang anda kekalkan dalam apa jua keadaan: HTTPS, sandaran dan kemas kini

HTTPS kekal di tempatnya walaupun di belakang VPN. Ia memberi perkhidmatan web identiti yang boleh diperiksa oleh pelayar dan mengekalkan sambungan aplikasi terlindung tanpa mengira di mana terowong berakhir. Titik hujung peribadi tidak sepatutnya mengajar pengguna memintas amaran sijil, kerana tabiat itu mengikut mereka ke laman awam.

Sandaran ialah disiplin berasingan daripada ketersediaan. Vaultwarden menyimpan datanya dalam pangkalan data, dan salinan konsisten yang diambil semasa perkhidmatan dihentikan, atau sandaran pada peringkat pangkalan data, lebih bernilai daripada fail yang disalin daripada proses yang sedang berjalan. Simpan salinan di luar hos peti besi dan uji pemulihan. Bahan peti besi yang dieksport memerlukan perlindungan yang sama seperti asalnya, kerana eksport tidak disulitkan seperti storan pelayan.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Kemudian pastikan pelayan dan klien dikemas kini. Capaian hanya melalui VPN mengurangkan pendedahan; ia tidak menjadikan pelaksanaan yang terdedah tidak berbahaya dan tidak melindungi titik hujung yang telah diceroboh. Tiga syarat menentukan model capaian, dan penyelenggaraan menentukan sama ada model itu bertahan sepanjang tahun.