Bør Vaultwarden-hvelvet ditt bare være tilgjengelig via VPN? Tre betingelser

Første pålogging på en erstatningstelefon er der et hvelv som bare er tilgjengelig via VPN viser kostnaden sin: appen har ingen hurtigbuffer, serveren står bak en tunnel, og tunneltilgangen kan ligge i hvelvet du ikke får åpnet. Det er et designspørsmål og ikke et avbrudd, og det er billigere å svare på før utrullingen enn etterpå. Tre betingelser avgjør om et privat hvelv er praktisk for brukerne dine. Hvis noen av dem svikter, er det riktige svaret vanligvis en smalere eksponering og ikke en VPN-mur.

Betingelse 1: brukerne dine når serveren på dag én

En ny enhet har ingen hurtigbuffer, ingen økt og ingen tillit. Den trenger at vertsnavnet til serveren blir slått opp, ruten dit og en VPN-profil som allerede er installert før brukeren prøver å logge på. Hvis noe av disse tre først kommer etter den første påloggingen, svikter utrullingen på det verst tenkelige tidspunktet. Tell hvor mange trinn en ny ansatt må fullføre før vedkommende kan åpne hvelvet sitt.

En delt tunnel passer ofte bedre her: frakt bare endepunktet til hvelvet og DNS-ruten det trenger, og la resten av trafikken til brukeren være i fred. Det er en rutebeslutning som tas sammen med eieren av VPN-en, ikke en antakelse om at hver mobilklient følger samme policy. Begge adressefamiliene og vertsnavnet til tjenesten må stemme med dette valget.

Hvis brukerne ikke når serveren før de har fungerende påloggingsinformasjon, svikter denne betingelsen, og VPN-muren har feil form.

Betingelse 2: bufret tilgang er skrivebeskyttet, og det er nok

Bitwarden-klienter kan vise et allerede låst opp hvelv uten å nå serveren, og den offlinekopien er skrivebeskyttet. Den er nyttig for å lese et passord under et avbrudd; den er ikke en ny pålogging og ikke redigering. Bestem om skrivebeskyttet er akseptabelt for brukerne dine før du designer rundt det.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Låsing og utlogging er forskjellige tilstander, og forskjellen betyr noe her. En låst klient holder det lokale hvelvet kryptert og kan låse det opp igjen med hovedpassordet eller biometri; utlogging fjerner den lokale kopien og krever serveren. Hvis et støtteskript ber brukerne logge ut og inn igjen for å rette et synkroniseringsproblem, fjerner det også offline-tilgangen deres. Sjekk tidsavbruddshandlingen på hver klient i stedet for å anta standarden.

En bufret kopi er ikke en sikkerhetskopi. Den lever på én enhet, er knyttet til én konto og forsvinner med en utlogging eller en sletting.

Betingelse 3: gjenoppretting går ikke gjennom hvelvet selv

Det sirkulære tilfellet er lett å bygge ved en feil: VPN-tilgangen ligger i hvelvet, hvelvet er bak VPN-en, og den eneste enheten med en hurtigbuffer er den som ble borte. Da avhenger gjenopprettingen av et dokument eller en person utenfor systemet. Skriv ned den oppstartsveien og test den med en konto som kan gjenopprettes, før noen trenger den. En nødprosedyre ingen har øvd på, er bare et håp.

Test rekkefølgen kontrollert: bekreft hvilke eksisterende elementer som forblir lesbare offline, gjenopprett deretter nettverksruten og verifiser at en ny pålogging og en synkronisering begge virker. Unngå å logge ut av den eneste bufrede kopien som et eksperiment, med mindre det finnes en annen vei tilbake. Noter det du observerte, inkludert klientversjonen.

Hvis gjenopprettingen krever hvelvet, svikter denne betingelsen. Løsningen er en dokumentert utenforbåndsvei, ikke en skarpere advarsel i introduksjonsdokumentet.

Det du beholder uansett: HTTPS, sikkerhetskopier og oppdateringer

HTTPS blir på plass også bak VPN-en. Det gir webtjenesten en identitet nettleseren kan kontrollere, og holder applikasjonsforbindelsen beskyttet uansett hvor tunnelen ender. Et privat endepunkt bør ikke lære brukerne å klikke seg forbi sertifikatadvarsler, for den vanen følger dem til offentlige nettsteder.

Sikkerhetskopier er en egen disiplin fra tilgjengelighet. Vaultwarden lagrer dataene sine i en database, og en konsistent kopi tatt mens tjenesten er stoppet, eller en sikkerhetskopi på databasenivå, er mer verdt enn en fil kopiert fra en kjørende prosess. Hold kopien utenfor verten til hvelvet, og test en gjenoppretting. Eksportert hvelvmateriale trenger samme beskyttelse som originalen, fordi en eksport ikke er kryptert slik serverens lagring er.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Hold deretter serveren og klientene oppdatert. Tilgang bare via VPN reduserer eksponeringen; det gjør ikke en sårbar implementasjon ufarlig, og det beskytter ikke et kompromittert endepunkt. De tre betingelsene avgjør tilgangsmodellen, og vedlikeholdet avgjør om den modellen overlever året.