Mal by byť váš trezor Vaultwarden dostupný iba cez VPN? Tri podmienky

Prvé prihlásenie na náhradnom telefóne je miesto, kde trezor dostupný iba cez VPN ukáže svoju cenu: aplikácia nemá vyrovnávaciu pamäť, server stojí za tunelom a prihlasovacie údaje k tunelu môžu byť v trezore, ktorý nedokážete otvoriť. Je to otázka návrhu, nie výpadok, a lacnejšie je odpovedať na ňu pred nasadením než po ňom. Tri podmienky rozhodujú, či je súkromný trezor pre vašich používateľov praktický. Ak niektorá zlyhá, správnou odpoveďou je zvyčajne užšie vystavenie, nie múr z VPN.

Podmienka 1: vaši používatelia dosiahnu server hneď prvý deň

Nové zariadenie nemá vyrovnávaciu pamäť, reláciu ani dôveru. Potrebuje preložiť názov hostiteľa servera, trasu, ktorou sa k nemu dostane, a profil VPN nainštalovaný skôr, než sa používateľ pokúsi prihlásiť. Ak niektorá z týchto troch vecí dorazí až po prvom prihlásení, nasadenie zlyhá v najhoršom možnom okamihu. Spočítajte, koľko krokov musí nový zamestnanec dokončiť, kým otvorí svoj trezor.

Rozdelený tunel sa sem často hodí lepšie: prenášajte iba koncový bod trezora a cestu DNS, ktorú potrebuje, a zvyšok prevádzky používateľa nechajte na pokoji. Je to rozhodnutie o smerovaní, ktoré sa robí s vlastníkom VPN, nie predpoklad, že každý mobilný klient dodržiava rovnakú politiku. Obe rodiny adries a názov hostiteľa služby musia s touto voľbou súhlasiť.

Ak sa používatelia nedostanú na server skôr, než majú funkčné prihlasovacie údaje, táto podmienka zlyhá a múr z VPN má nesprávny tvar.

Podmienka 2: vyrovnávacia pamäť je iba na čítanie, a to stačí

Klienti Bitwarden dokážu zobraziť už odomknutý trezor bez pripojenia k serveru, a tá offline kópia je iba na čítanie. Hodí sa na prečítanie hesla počas výpadku; nie je to nové prihlásenie ani úprava. Rozhodnite, či je pre vašich používateľov čítanie bez zápisu prijateľné, skôr než okolo toho navrhnete riešenie.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Uzamknutie a odhlásenie sú rôzne stavy a rozdiel je tu podstatný. Uzamknutý klient drží miestny trezor zašifrovaný a môže ho znova odomknúť hlavným heslom alebo biometriou; odhlásenie túto miestnu kópiu odstráni a vyžaduje server. Ak podporný skript hovorí používateľom, aby sa odhlásili a znova prihlásili kvôli oprave synchronizácie, odstráni tým aj ich offline prístup. Skontrolujte akciu pri vypršaní času v každom klientovi, namiesto toho, aby ste predpokladali predvolenú hodnotu.

Kópia vo vyrovnávacej pamäti nie je záloha. Žije na jednom zariadení, je viazaná na jeden účet a zmizne pri odhlásení alebo vymazaní.

Podmienka 3: obnova nevedie cez samotný trezor

Kruhový prípad sa dá ľahko vytvoriť omylom: prihlasovacie údaje k VPN sú uložené v trezore, trezor je za VPN a jediné zariadenie s vyrovnávacou pamäťou je to, ktoré sa stratilo. Obnova potom závisí od dokumentu alebo človeka mimo systému. Zapíšte túto zavádzaciu cestu a otestujte ju s obnoviteľným účtom, skôr než ju niekto bude potrebovať. Núdzový postup, ktorý nikto neskúsil, je len nádej.

Otestujte postupnosť kontrolovane: overte, ktoré existujúce položky zostávajú offline čitateľné, potom obnovte sieťovú cestu a overte, že nové prihlásenie aj synchronizácia fungujú. Vyhnite sa odhláseniu z jedinej kópie vo vyrovnávacej pamäti ako experimentu, ak neexistuje iná cesta späť. Zaznamenajte, čo ste pozorovali, vrátane verzie klienta.

Ak obnova vyžaduje trezor, táto podmienka zlyhá. Opravou je zdokumentovaná mimopásmová cesta, nie silnejšie varovanie v dokumente pre nováčikov.

Čo si v každom prípade ponecháte: HTTPS, zálohy a aktualizácie

HTTPS zostáva na svojom mieste aj za VPN. Dáva webovej službe identitu, ktorú prehliadač môže overiť, a drží spojenie aplikácie chránené bez ohľadu na to, kde tunel končí. Súkromný koncový bod by nemal učiť používateľov preklikávať varovania o certifikátoch, pretože ten zvyk ich nasleduje aj na verejné stránky.

Zálohovanie je samostatná disciplína od dostupnosti. Vaultwarden ukladá údaje do databázy a konzistentná kópia vytvorená pri zastavenej službe alebo záloha na úrovni databázy má väčšiu cenu než súbor skopírovaný z bežiaceho procesu. Držte kópiu mimo hostiteľa trezora a vyskúšajte obnovu. Exportovaný materiál trezora potrebuje rovnakú ochranu ako originál, pretože export nie je zašifrovaný tak ako úložisko servera.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Potom udržiavajte server aj klientov aktualizované. Prístup iba cez VPN znižuje vystavenie; nerobí zraniteľnú implementáciu neškodnou a nechráni kompromitovaný koncový bod. Tri podmienky rozhodujú o modeli prístupu a údržba rozhoduje o tom, či ten model prežije rok.