Moet je Vaultwarden-kluis alleen via VPN bereikbaar zijn? Drie voorwaarden

De eerste login op een vervangende telefoon is het moment waarop een kluis die alleen via VPN bereikbaar is zijn prijs laat zien: de app heeft geen cache, de server staat achter een tunnel en de tunnelgegevens kunnen in de kluis liggen die je niet kunt openen. Dat is een ontwerpvraag en geen storing, en het is goedkoper om die vóór de uitrol te beantwoorden dan erna. Drie voorwaarden bepalen of een privékluis praktisch is voor je gebruikers. Als een ervan faalt, is het juiste antwoord meestal een smallere blootstelling en niet een VPN-muur.

Voorwaarde 1: je gebruikers bereiken de server op dag één

Een nieuw apparaat heeft geen cache, geen sessie en geen vertrouwen. Het heeft de opgeloste hostnaam van de server nodig, de route ernaartoe en een VPN-profiel dat al is geïnstalleerd voordat de gebruiker probeert in te loggen. Als een van die drie pas na de eerste login komt, mislukt de uitrol op het slechtst denkbare moment. Tel hoeveel stappen een nieuwe medewerker moet doorlopen voordat hij zijn kluis kan openen.

Een gesplitste tunnel past hier vaak beter: vervoer alleen het eindpunt van de kluis en het DNS-pad dat het nodig heeft, en laat de rest van het verkeer van de gebruiker met rust. Dat is een routingbeslissing die je met de eigenaar van de VPN neemt, geen aanname dat elke mobiele client hetzelfde beleid volgt. Beide adresfamilies en de hostnaam van de dienst moeten bij die keuze passen.

Als gebruikers de server niet kunnen bereiken voordat ze werkende inloggegevens hebben, faalt deze voorwaarde en heeft de VPN-muur de verkeerde vorm.

Voorwaarde 2: gecachte toegang is alleen-lezen, en dat is genoeg

Bitwarden-clients kunnen een al ontgrendelde kluis tonen zonder de server te bereiken, en die offline kopie is alleen-lezen. Hij is nuttig om tijdens een storing een wachtwoord te lezen; het is geen nieuwe login en geen bewerking. Bepaal of alleen-lezen acceptabel is voor je gebruikers voordat je daaromheen ontwerpt.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Vergrendelen en uitloggen zijn verschillende toestanden, en het verschil is hier belangrijk. Een vergrendelde client houdt de lokale kluis versleuteld en kan hem opnieuw ontgrendelen met het hoofdwachtwoord of biometrie; uitloggen verwijdert die lokale kopie en vereist de server. Als een supportscript gebruikers vertelt uit te loggen en weer in te loggen om een synchronisatieprobleem op te lossen, verwijdert het ook hun offline toegang. Controleer de time-outactie op elke client in plaats van de standaard aan te nemen.

Een gecachte kopie is geen back-up. Hij leeft op één apparaat, is aan één account gebonden en verdwijnt met een uitlog of een wisactie.

Voorwaarde 3: herstel loopt niet via de kluis zelf

Het cirkelgeval is makkelijk per ongeluk te bouwen: de VPN-gegevens staan in de kluis, de kluis staat achter de VPN en het enige apparaat met een cache is datgene dat verloren is gegaan. Dan hangt het herstel af van een document of een persoon buiten het systeem. Schrijf dat opstartpad op en test het met een herstelbaar account voordat iemand het nodig heeft. Een noodprocedure die niemand heeft geoefend, is alleen een hoop.

Test de volgorde gecontroleerd: bevestig welke bestaande items offline leesbaar blijven, herstel daarna het netwerkpad en verifieer dat een nieuwe login en een synchronisatie beide werken. Vermijd uitloggen van de enige gecachte kopie als experiment, tenzij er een andere weg terug is. Noteer wat je hebt waargenomen, inclusief de clientversie.

Als herstel de kluis vereist, faalt deze voorwaarde. De oplossing is een gedocumenteerd out-of-bandpad, niet een scherpere waarschuwing in het onboardingdocument.

Wat je in elk geval houdt: HTTPS, back-ups en updates

HTTPS blijft op zijn plaats, ook achter de VPN. Het geeft de webservice een identiteit die de browser kan controleren en houdt de verbinding van de applicatie beschermd, ongeacht waar de tunnel eindigt. Een privé-eindpunt zou gebruikers niet moeten leren om certificaatwaarschuwingen weg te klikken, want die gewoonte volgt hen naar openbare sites.

Back-ups zijn een aparte discipline van beschikbaarheid. Vaultwarden bewaart zijn gegevens in een database, en een consistente kopie die wordt gemaakt terwijl de dienst is gestopt, of een back-up op databaseniveau, is meer waard dan een bestand dat uit een lopend proces is gekopieerd. Houd de kopie buiten de host van de kluis en test een herstel. Geëxporteerd kluismateriaal heeft dezelfde bescherming nodig als het origineel, omdat een export niet is versleuteld zoals de opslag van de server.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Houd daarna de server en de clients up-to-date. Toegang alleen via VPN verkleint de blootstelling; het maakt een kwetsbare implementatie niet ongevaarlijk en beschermt geen gecompromitteerd eindpunt. De drie voorwaarden bepalen het toegangsmodel, en het onderhoud bepaalt of dat model het jaar overleeft.