Должно ли ваше хранилище Vaultwarden быть доступно только через VPN? Три условия

Первый вход на заменённом телефоне — это момент, когда хранилище, доступное только через VPN, показывает свою цену: у приложения нет кэша, сервер стоит за туннелем, а учётные данные туннеля могут быть внутри хранилища, которое вы не можете открыть. Это вопрос проектирования, а не сбой, и ответить на него до развёртывания дешевле, чем после. Три условия решают, практично ли частное хранилище для ваших пользователей. Если одно из них не выполняется, правильный ответ обычно — более узкое раскрытие, а не стена VPN.

Условие 1: ваши пользователи достигают сервера в первый день

У нового устройства нет ни кэша, ни сеанса, ни доверия. Ему нужны разрешённое имя хоста сервера, маршрут к нему и профиль VPN, установленный ещё до того, как пользователь попробует войти. Если что-то из этих трёх появится только после первого входа, развёртывание сорвётся в худший возможный момент. Посчитайте, сколько шагов новый сотрудник должен пройти, прежде чем откроет своё хранилище.

Разделённый туннель здесь часто подходит лучше: передавайте только конечную точку хранилища и нужный ей путь DNS, а остальной трафик пользователя оставьте в покое. Это решение о маршрутизации, которое принимают вместе с владельцем VPN, а не предположение, что каждый мобильный клиент соблюдает одну и ту же политику. Оба семейства адресов и имя хоста службы должны соответствовать этому выбору.

Если пользователи не могут достичь сервера, пока у них нет рабочих учётных данных, это условие не выполняется, и у стены VPN неправильная форма.

Условие 2: доступ из кэша только для чтения, и этого достаточно

Клиенты Bitwarden могут показать уже разблокированное хранилище, не обращаясь к серверу, и эта офлайн-копия доступна только для чтения. Она полезна, чтобы прочитать пароль во время сбоя; это не новый вход и не редактирование. Решите, приемлемо ли чтение без записи для ваших пользователей, прежде чем строить вокруг этого проект.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Блокировка и выход — разные состояния, и разница здесь важна. Заблокированный клиент держит локальное хранилище зашифрованным и может снова разблокировать его главным паролем или биометрией; выход удаляет эту локальную копию и требует сервера. Если скрипт поддержки советует пользователям выйти и войти снова, чтобы исправить проблему синхронизации, он также лишает их офлайн-доступа. Проверьте действие по тайм-ауту в каждом клиенте, а не предполагайте значение по умолчанию.

Кэшированная копия не является резервной копией. Она живёт на одном устройстве, привязана к одной учётной записи и исчезает при выходе или очистке.

Условие 3: восстановление не идёт через само хранилище

Круговую ситуацию легко создать случайно: учётные данные VPN хранятся в хранилище, хранилище находится за VPN, а единственное устройство с кэшем — то, которое потеряно. Тогда восстановление зависит от документа или человека вне системы. Запишите этот путь начальной загрузки и проверьте его на восстанавливаемой учётной записи, прежде чем он кому-то понадобится. Аварийная процедура, которую никто не отрабатывал, — это только надежда.

Проверьте последовательность контролируемо: подтвердите, какие существующие элементы остаются читаемыми офлайн, затем восстановите сетевой путь и убедитесь, что новый вход и синхронизация работают. Избегайте выхода из единственной кэшированной копии в качестве эксперимента, если нет другого пути назад. Запишите то, что вы наблюдали, включая версию клиента.

Если восстановление требует хранилища, это условие не выполняется. Решение — документированный внешний путь, а не более строгое предупреждение в документе о внедрении.

Что вы сохраняете в любом случае: HTTPS, резервные копии и обновления

HTTPS остаётся на месте даже за VPN. Он даёт веб-службе идентичность, которую браузер может проверить, и сохраняет соединение приложения защищённым независимо от того, где заканчивается туннель. Частная конечная точка не должна учить пользователей пролистывать предупреждения о сертификатах, потому что эта привычка следует за ними на публичные сайты.

Резервное копирование — отдельная дисциплина от доступности. Vaultwarden хранит данные в базе данных, и согласованная копия, снятая при остановленной службе, или резервная копия на уровне базы данных ценнее файла, скопированного из работающего процесса. Держите копию вне хоста хранилища и проверьте восстановление. Экспортированный материал хранилища нуждается в такой же защите, как оригинал, потому что экспорт не шифруется так, как хранилище сервера.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Затем держите сервер и клиенты обновлёнными. Доступ только через VPN снижает раскрытие; он не делает уязвимую реализацию безвредной и не защищает скомпрометированную конечную точку. Три условия определяют модель доступа, а обслуживание определяет, переживёт ли эта модель год.