Ali naj bo vaš sef Vaultwarden dostopen samo prek VPN? Trije pogoji

Prva prijava na nadomestnem telefonu je trenutek, ko sef, dostopen samo prek VPN, pokaže svojo ceno: aplikacija nima predpomnilnika, strežnik stoji za tunelom, poverilnice tunela pa so lahko v sefu, ki ga ne morete odpreti. To je vprašanje zasnove in ne izpad, in ceneje je odgovoriti nanj pred uvedbo kot po njej. Trije pogoji odločajo, ali je zasebni sef praktičen za vaše uporabnike. Če kateri spodleti, je pravi odgovor običajno ožja izpostavljenost in ne VPN zid.

Pogoj 1: vaši uporabniki dosežejo strežnik prvi dan

Nova naprava nima predpomnilnika, seje in zaupanja. Potrebuje razrešeno ime gostitelja strežnika, pot do njega in profil VPN, nameščen že pred uporabnikovim poskusom prijave. Če karkoli od tega trojega pride šele po prvi prijavi, uvedba spodleti v najslabšem možnem trenutku. Preštejte, koliko korakov mora novi sodelavec opraviti, preden lahko odpre svoj sef.

Razdeljeni tunel se tukaj pogosto bolje prilega: prenašajte samo končno točko sefa in pot DNS, ki jo potrebuje, preostali promet uporabnika pa pustite pri miru. To je odločitev o usmerjanju, ki jo sprejmete skupaj z lastnikom VPN, ne pa domneva, da vsak mobilni odjemalec spoštuje isto politiko. Obe družini naslovov in ime gostitelja storitve se morata ujemati s to izbiro.

Če uporabniki ne morejo doseči strežnika, preden imajo delujoče poverilnice, ta pogoj spodleti in VPN zid ima napačno obliko.

Pogoj 2: dostop iz predpomnilnika je samo za branje, in to zadostuje

Odjemalci Bitwarden lahko prikažejo že odklenjen sef, ne da bi dosegli strežnik, in ta kopija brez povezave je samo za branje. Uporabna je za branje gesla med izpadom; ni nova prijava in ni urejanje. Odločite se, ali je samo branje sprejemljivo za vaše uporabnike, preden zasnujete okoli tega.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Zaklepanje in odjava sta različna stanja, in razlika je tukaj pomembna. Zaklenjen odjemalec drži lokalni sef šifriran in ga lahko znova odklene z glavnim geslom ali biometrijo; odjava odstrani to lokalno kopijo in zahteva strežnik. Če skript za podporo uporabnikom reče, naj se odjavijo in znova prijavijo, da odpravijo težavo s sinhronizacijo, jim s tem odstrani tudi dostop brez povezave. Preverite dejanje ob poteku časa v vsakem odjemalcu, namesto da predpostavite privzeto vrednost.

Kopija v predpomnilniku ni varnostna kopija. Živi na eni napravi, vezana je na en račun in izgine ob odjavi ali brisanju.

Pogoj 3: obnovitev ne poteka skozi sef sam

Krog je lahko ustvariti po nesreči: poverilnice VPN so shranjene v sefu, sef je za VPN, edina naprava s predpomnilnikom pa je tista, ki je bila izgubljena. Takrat je obnovitev odvisna od dokumenta ali osebe zunaj sistema. Zapišite to zagonsko pot in jo preizkusite z obnovljivim računom, preden jo kdo potrebuje. Nujni postopek, ki ga ni nihče vadil, je samo upanje.

Preizkusite zaporedje nadzorovano: potrdite, kateri obstoječi elementi ostanejo berljivi brez povezave, nato obnovite omrežno pot in preverite, da nova prijava in sinhronizacija oba delujeta. Izogibajte se odjavi iz edine kopije v predpomnilniku kot poskusu, razen če obstaja druga pot nazaj. Zabeležite, kar ste opazili, vključno z različico odjemalca.

Če obnovitev zahteva sef, ta pogoj spodleti. Rešitev je dokumentirana zunajpasovna pot, ne strožje opozorilo v uvajalnem dokumentu.

Kaj ohranite v vsakem primeru: HTTPS, varnostne kopije in posodobitve

HTTPS ostane na svojem mestu tudi za VPN. Spletni storitvi daje identiteto, ki jo brskalnik lahko preveri, in ohranja povezavo aplikacije zaščiteno ne glede na to, kje se tunel konča. Zasebna končna točka ne bi smela učiti uporabnikov preskakovati opozoril o potrdilih, ker ta navada sledi njim na javne strani.

Varnostne kopije so ločena disciplina od razpoložljivosti. Vaultwarden shranjuje podatke v zbirki podatkov, in dosledna kopija, narejena ob ustavljeni storitvi, ali varnostna kopija na ravni zbirke podatkov je vredna več kot datoteka, kopirana iz delujočega procesa. Hranite kopijo zunaj gostitelja sefa in preizkusite obnovitev. Izvoženo gradivo sefa potrebuje enako zaščito kot izvirnik, ker izvoz ni šifriran tako kot shramba strežnika.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Nato vzdržujte strežnik in odjemalce posodobljene. Dostop samo prek VPN zmanjšuje izpostavljenost; ne naredi ranljive izvedbe neškodljive in ne ščiti ogrožene končne točke. Trije pogoji odločajo o modelu dostopa, vzdrževanje pa odloča, ali bo ta model preživel leto.