Чи має ваше сховище Vaultwarden бути доступним лише через VPN? Три умови

Перший вхід на заміненому телефоні — це момент, коли сховище, доступне лише через VPN, показує свою ціну: застосунок не має кешу, сервер стоїть за тунелем, а облікові дані тунелю можуть бути всередині сховища, яке ви не можете відкрити. Це питання проєктування, а не збій, і відповісти на нього до розгортання дешевше, ніж після. Три умови вирішують, чи практичне приватне сховище для ваших користувачів. Якщо хоч одна з них не виконується, правильна відповідь зазвичай — вужче розкриття, а не стіна VPN.

Умова 1: ваші користувачі досягають сервера першого дня

Новий пристрій не має ні кешу, ні сеансу, ні довіри. Йому потрібні розв’язане ім’я хоста сервера, маршрут до нього і профіль VPN, уже встановлений до того, як користувач спробує увійти. Якщо щось із цих трьох з’явиться лише після першого входу, розгортання зірветься в найгірший можливий момент. Порахуйте, скільки кроків новий співробітник має пройти, перш ніж відкриє своє сховище.

Розділений тунель тут часто підходить краще: передавайте лише кінцеву точку сховища й потрібний їй шлях DNS, а решту трафіку користувача залиште в спокої. Це рішення про маршрутизацію, яке ухвалюють разом із власником VPN, а не припущення, що кожен мобільний клієнт дотримується тієї самої політики. Обидві родини адрес і ім’я хоста служби мають відповідати цьому вибору.

Якщо користувачі не можуть досягти сервера, поки не мають робочих облікових даних, ця умова не виконується, і стіна VPN має неправильну форму.

Умова 2: доступ із кешу лише для читання, і цього достатньо

Клієнти Bitwarden можуть показати вже розблоковане сховище, не звертаючись до сервера, і ця офлайн-копія доступна лише для читання. Вона корисна, щоб прочитати пароль під час збою; це не новий вхід і не редагування. Вирішіть, чи прийнятне читання без запису для ваших користувачів, перш ніж будувати навколо цього проєкт.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Блокування та вихід — різні стани, і різниця тут важлива. Заблокований клієнт тримає локальне сховище зашифрованим і може знову розблокувати його головним паролем або біометрією; вихід видаляє цю локальну копію і потребує сервера. Якщо скрипт підтримки радить користувачам вийти й увійти знову, щоб виправити проблему синхронізації, він також позбавляє їх офлайн-доступу. Перевірте дію за тайм-аутом у кожному клієнті, а не припускайте значення за замовчуванням.

Кешована копія не є резервною копією. Вона живе на одному пристрої, прив’язана до одного облікового запису і зникає під час виходу або очищення.

Умова 3: відновлення не йде через саме сховище

Кругову ситуацію легко створити випадково: облікові дані VPN зберігаються у сховищі, сховище стоїть за VPN, а єдиний пристрій із кешем — той, що загубився. Тоді відновлення залежить від документа або людини поза системою. Запишіть цей шлях завантаження й перевірте його на відновлюваному обліковому записі, перш ніж він комусь знадобиться. Аварійна процедура, яку ніхто не відпрацьовував, — це лише надія.

Перевірте послідовність контрольовано: підтвердьте, які наявні елементи залишаються читабельними офлайн, потім відновіть мережевий шлях і переконайтеся, що новий вхід і синхронізація працюють. Уникайте виходу з єдиної кешованої копії як експерименту, якщо немає іншого шляху назад. Запишіть те, що ви спостерігали, включно з версією клієнта.

Якщо відновлення потребує сховища, ця умова не виконується. Рішення — задокументований позасмуговий шлях, а не суворіше попередження в документі про впровадження.

Що ви зберігаєте в будь-якому разі: HTTPS, резервні копії та оновлення

HTTPS залишається на місці навіть за VPN. Він дає вебслужбі ідентичність, яку браузер може перевірити, і зберігає з’єднання застосунку захищеним незалежно від того, де закінчується тунель. Приватна кінцева точка не повинна вчити користувачів обходити попередження про сертифікати, бо ця звичка супроводжує їх на публічних сайтах.

Резервне копіювання — окрема дисципліна від доступності. Vaultwarden зберігає дані в базі даних, і узгоджена копія, знята при зупиненій службі, або резервна копія на рівні бази даних цінніша за файл, скопійований із працюючого процесу. Тримайте копію поза хостом сховища й перевірте відновлення. Експортований матеріал сховища потребує такого самого захисту, як оригінал, бо експорт не шифрується так, як сховище сервера.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Потім тримайте сервер і клієнти оновленими. Доступ лише через VPN зменшує розкриття; він не робить уразливу реалізацію нешкідливою і не захищає скомпрометовану кінцеву точку. Три умови визначають модель доступу, а обслуговування визначає, чи переживе ця модель рік.