Bör din Vaultwarden-valv vara nåbart endast via VPN? Tre villkor

Första inloggningen på en ersättningstelefon är där ett valv som bara nås via VPN visar sin kostnad: appen har ingen cache, servern står bakom en tunnel och tunnelns inloggningsuppgifter kan ligga i valvet du inte kan öppna. Det är en designfråga och inte ett avbrott, och det är billigare att svara på den före utrullningen än efter. Tre villkor avgör om ett privat valv är praktiskt för dina användare. Om något av dem fallerar är rätt svar oftast en snävare exponering och inte en VPN-mur.

Villkor 1: dina användare når servern dag ett

En ny enhet har ingen cache, ingen session och ingen tillit. Den behöver att serverns värdnamn löses upp, vägen dit och en VPN-profil som redan är installerad innan användaren försöker logga in. Om något av dessa tre kommer först efter den första inloggningen misslyckas utrullningen i det sämsta möjliga ögonblicket. Räkna hur många steg en nyanställd måste slutföra innan hen kan öppna sitt valv.

En delad tunnel passar ofta bättre här: transportera bara valvets ändpunkt och den DNS-väg den behöver, och låt resten av användarens trafik vara i fred. Det är ett routingbeslut som fattas tillsammans med ägaren av VPN:en, inte ett antagande att varje mobilklient följer samma policy. Båda adressfamiljerna och tjänstens värdnamn måste stämma med det valet.

Om användarna inte kan nå servern innan de har fungerande inloggningsuppgifter fallerar detta villkor och VPN-muren har fel form.

Villkor 2: cachad åtkomst är skrivskyddad, och det räcker

Bitwarden-klienter kan visa ett redan upplåst valv utan att nå servern, och den offlinekopian är skrivskyddad. Den är användbar för att läsa ett lösenord under ett avbrott; den är inte en ny inloggning och inte redigering. Bestäm om skrivskyddad åtkomst är acceptabel för dina användare innan du designar runt det.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Låsning och utloggning är olika tillstånd, och skillnaden spelar roll här. En låst klient håller det lokala valvet krypterat och kan låsa upp det igen med huvudlösenordet eller biometri; utloggning tar bort den lokala kopian och kräver servern. Om ett supportskript säger åt användarna att logga ut och in igen för att fixa ett synkroniseringsproblem tar det också bort deras offlineåtkomst. Kontrollera tidsgränsåtgärden på varje klient i stället för att anta standardvärdet.

En cachad kopia är inte en säkerhetskopia. Den lever på en enhet, är knuten till ett konto och försvinner med en utloggning eller en rensning.

Villkor 3: återställning går inte genom valvet självt

Det cirkulära fallet är lätt att bygga av misstag: VPN-uppgifterna ligger i valvet, valvet ligger bakom VPN:en och den enda enheten med en cache är den som försvann. Återställningen beror då på ett dokument eller en person utanför systemet. Skriv ned den startvägen och testa den med ett konto som kan återställas innan någon behöver den. En nödprocedur som ingen har övat är bara ett hopp.

Testa ordningen kontrollerat: bekräfta vilka befintliga poster som förblir läsbara offline, återställ sedan nätverksvägen och verifiera att en ny inloggning och en synkronisering båda fungerar. Undvik att logga ut från den enda cachade kopian som experiment, om det inte finns en annan väg tillbaka. Notera vad du observerade, inklusive klientversionen.

Om återställningen kräver valvet fallerar detta villkor. Lösningen är en dokumenterad utombandsväg, inte en skarpare varning i introduktionsdokumentet.

Det du behåller oavsett: HTTPS, säkerhetskopior och uppdateringar

HTTPS stannar på plats även bakom VPN:en. Det ger webbtjänsten en identitet som webbläsaren kan kontrollera och håller applikationens anslutning skyddad oavsett var tunneln slutar. En privat ändpunkt bör inte lära användarna att klicka förbi certifikatvarningar, för den vanan följer dem till offentliga webbplatser.

Säkerhetskopior är en egen disciplin från tillgänglighet. Vaultwarden lagrar sina data i en databas, och en konsekvent kopia tagen medan tjänsten är stoppad, eller en säkerhetskopia på databasnivå, är värd mer än en fil kopierad från en körande process. Håll kopian utanför valvets värd och testa en återställning. Exporterat valvmaterial behöver samma skydd som originalet, eftersom en export inte är krypterad som serverns lagring.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Håll sedan servern och klienterna uppdaterade. Åtkomst endast via VPN minskar exponeringen; det gör inte en sårbar implementering ofarlig och skyddar inte en komprometterad ändpunkt. De tre villkoren avgör åtkomstmodellen, och underhållet avgör om den modellen överlever året.