Vaultwardeni majutamine Managed VPS-is: teie paroolid teie enda serveris

Mida Vaultwarden teeb

Vaultwarden on Rustis kirjutatud paroolihaldusserver, mis on mõeldud ise majutamiseks. Selle wiki suunab selle eraisikutele, peredele ja inimmõõdulistele organisatsioonidele. Veebihoidla tuleb kaasa selle Dockeri tõmmistega.

See rakendab API, mis ühildub Bitwardeni ametlike klientidega brauseris, arvutis ja telefonis. README täpsustab, et projekt ei ole seotud Bitwardeni ega Bitwarden, Inc.-iga, ning palub teatada igast probleemist otse projektile, olenemata kasutatavast kliendist, mitte ametlikele tugikanalitele.

• Hoidla: isiklik hoidla, manused, saitide ikoonid, isiklik API-võti ja Send teksti või faili edastamiseks.
• Organisatsioonid: kogud, paroolide jagamine, rollid, grupid, sündmuste logid ja poliitikad.
• Kaksikautentimine: autentimisrakendus, e-post, FIDO2 WebAuthn, YubiKey ja Duo.
• Abivahendid: hädaolukorra ligipääs ja konto taastamine, millest viimane nõuab seadistatud e-posti.
• Haldus: leht /admin sätete, kontode ja diagnostika jaoks.

Wiki loetleb ka selle, mida ametliku serveriga võrreldes puudu jääb, näiteks sisselogimine pääsuvõtmega, kohandatud rollid ja mõned ettevõtte poliitikad. Samuti märgib see, et peamiselt suurtele organisatsioonidele kasulikud funktsioonid ei ole projekti prioriteet: lugege seda loendit, kui vajate neid.

Mida AGPL-3.0-litsents lubab

Vaultwarden avaldatakse litsentsi GNU Affero General Public License, versioon 3 all. Tekst kinnitab piiramatut luba muutmata programmi käitada. Seega võite projekti avaldatud tõmmist kasutada oma ettevõtte ja meeskonna jaoks, ilma et peaksite litsentsi ostma.

Artikkel 13 lisab AGPL-ile omase tingimuse: kui te programmi muudate, peab teie versioon pakkuma kõigile, kes seda kaugelt, võrgu kaudu kasutavad, võimalust saada selle lähtekood tasuta.

Paigaldus Docker Compose’iga

README soovitab konteinerite tõmmiseid. Looge serveris, kuhu Docker on paigaldatud, kaust ja pange sinna see README-st ja wikist pärit compose.yaml:

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data/:/data/
    ports:
      - 127.0.0.1:8000:80

docker compose up -d

• Port avaldatud aadressil 127.0.0.1: nagu README-s, on Vaultwarden kättesaadav ainult pöördproksi kaudu, mis asub samas serveris.
• DOMAIN: teie instantsi baasaadress, kujul https. Wiki hoiatab, et ilma selleta lähevad katki funktsioonid, sealhulgas manused ja kutselingid.
• Kaust vw-data kohalikul kettal: selles asuvad kõik andmed. Wiki märgib SQLite’i probleeme CIFS- või Samba-köitel, mis ei toeta lukustamist.
• Silt latest järgib viimati avaldatud versiooni ja wiki soovitab seda enamikuks kasutuseks. Silt nagu 1.37.5 fikseerib versiooni ja latest-alpine annab sama Alpine’i baasil.

Teie domeeninimi viitab serverile A- ja AAAA-kirjetega ning külastajad jõuavad portidele 80 ja 443. Kuni pöördproksi pole paigas, jääb veebihoidla kasutuskõlbmatuks: minge otse järgmisse jaotisse.

Projekt ei too välja mälu ega protsessori mahtu; see esitleb end ainult lahendusena juhtudeks, kus ressursse nõudev ametlik teenus ei sobi. Suurus sõltub kontode arvust ja manuste mahust. Managed VPS-is kirjeldage meile oma kasutust ja soovitame sobiva suuruse.

HTTPS ja WebSocket: pöördproksi

Veebihoidla tugineb Web Crypto API-le, mille brauserid jätavad turvatud kontekstidele: README märgib, et see töötab alles pärast HTTPS-i lubamist, ja wiki peab HTTPS-i «pretty much required», ehk peaaegu kohustuslikuks. Projekt soovitab Vaultwardeni ette pöördproksit ning ei soovita selle Rocketi raamistiku sisseehitatud TLS-i.

Võtke tunnustatud sertifikaat, näiteks Let’s Encrypti oma, mida wiki soovitab: iseallkirjastatud sertifikaadiga keelduvad mõned platvormid ühendusest. Sertifikaat peab kandma oma täielikku ahelat, vastasel juhul Androidi seadmed ei ühendu.

WebSocketi teavitused, mis on vaikimisi aktiivsed, annavad brauserile, töölauarakendusele ja laiendusele teada, et kirje on muutunud. Need liiguvad läbi peamise HTTP-pordi ja proksi peab edastama päised Upgrade ja Connection. Mobiilirakendused kasutavad oma süsteemi natiivseid teavitusi, mida seadistatakse eraldi.

Caddy-ga

Wiki soovitab Caddyt esimesena vaadata, kui teil eelistust pole: see lubab HTTPS-i ise, hangib Let’s Encrypti sertifikaadi ja toetab WebSocketi. Wiki säte edastab Vaultwardenile ka külastaja tegeliku aadressi, tema logide jaoks:

vault.example.com {
  reverse_proxy 127.0.0.1:8000 {
    header_up X-Real-IP {remote_host}
  }
}

Nginxi ja Certbotiga

See plokk järgib wiki Nginxi näidet, mis on taandatud pordile 80, et Certbot saaks HTTPS-i paigaldada:

upstream vaultwarden-default {
  zone vaultwarden-default 64k;
  server 127.0.0.1:8000;
  keepalive 2;
}

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      "";
}

server {
    listen 80;
    listen [::]:80;
    server_name vault.example.com;

    client_max_body_size 525M;

    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;

    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;

    location / {
      proxy_pass http://vaultwarden-default;
    }
}

Certbot paigaldab seejärel sertifikaadi ja hoolitseb selle uuendamise eest:

sudo certbot --nginx

WebSocketi kontrollimine

Avage brauseri arendustööriistad, võrgulaps, filter WS, ja logige hoidlasse uuesti sisse: vastus 101 aadressil /notifications/hub kinnitab ühendust. Teine wiki test: avage hoidla kahes brauseris, nimetage ühes kirje ümber ja muudatus ilmub kohe teises.

Registreerimise sulgemine

Vaikimisi saab igaüks, kes teie instantsini jõuab, seal konto luua. See on kasulik teie esimese konto jaoks ja wiki soovitab seejärel sulgeda, et ründaja ei saaks seda luua.

1. Avage oma HTTPS-aadress ja looge konto, seejärel ühendage oma rakendused sellele aadressile.
2. Seadke SIGNUPS_ALLOWED väärtusele "false" failis compose.yaml.
3. Käivitage uuesti käsuga docker compose up -d: keskkonnamuutuja on seotud konteineriga, mis tuleb selle arvestamiseks uuesti luua.

SIGNUPS_ALLOWED: "false"

• Kutsed jäävad avatuks ka pärast sulgemist: organisatsiooni omanikud ja administraatorid saavad uusi inimesi kutsuda. INVITATIONS_ALLOWED väärtusel "false" eemaldab selle võimaluse ja wiki jätab valiku selle järgi, kui palju te oma kasutajaid usaldate.
• Domeenide loend: SIGNUPS_DOMAINS_WHITELIST piirab registreerimise teatud e-posti domeenidega ja SIGNUPS_VERIFY väärtusel true nõuab siis aadressi kontrollimist. Kui see loend on seatud, jäetakse SIGNUPS_ALLOWED arvestamata.
• Haldusleht võimaldab kutsuda kellegi tahes, olenemata nendest piirangutest.

Niipea kui salvestate konfiguratsiooni haldusleheküljelt, tekib andmekausta fail config.json, mis on keskkonnamuutujatest ülimuslik. Asjaomaseid sätteid muudetakse siis sellelt lehelt: failist compose.yaml enam ei piisa.

Haldusleht ja selle märk

Lehte /admin kasutatakse Vaultwardeni seadistamiseks, kontode ja organisatsioonide vaatamiseks ja kustutamiseks, kasutaja kaksikautentimise eemaldamiseks, kutsumiseks ja diagnostika lugemiseks. Ilma ADMIN_TOKEN-ita jääb see keelatuks: kui teil seda vaja pole, jätke see nii.

Wiki soovitab tungivalt enne seda lehte HTTPS lubada. Märk toimib paroolina ja seda saab hoida räsituna, argon2id-vormis, mitte konfiguratsioonis selgelt. Vaultwarden pakub selleks käsu: see küsib parooli kaks korda ja annab seejärel PHC-stringi.

docker run --rm -it vaultwarden/server /vaultwarden hash

Pange see string faili .env, faili compose.yaml kõrvale, ülakomade vahele, ja kutsuge see teenusest välja:

VAULTWARDEN_ADMIN_TOKEN='$argon2id$...'

ADMIN_TOKEN: ${VAULTWARDEN_ADMIN_TOKEN}

Kontrollige tulemust, käivitage uuesti ja logige seejärel aadressil /admin sisse oma parooliga, mitte PHC-stringiga:

docker compose config
docker compose up -d

• Seanss kestab vaikimisi 20 minutit, reguleeritav muutujaga ADMIN_SESSION_LIFETIME. Avatud seanss jääb pärast märgi vahetamist kehtima. Kõigi katkestamiseks kustutage andmekaustast rsa_key.pem ja taaskäivitage, mis logib välja ka kasutajad ja tühistab pooleliolevad kutsed.
• Piiratud ligipääs: wiki proksinäited näitavad, kuidas avada /admin ainult teatud aadressidele või lisada sellele HTTP-autentimine.
• DISABLE_ADMIN_TOKEN eemaldab igasuguse kontrolli: see on mõeldud eraldi autentimiskihile selle ees ja wiki jätab selle neile, kes teavad, mida teevad.

Mis hoidlat kaitseb

Esimene kaitse on peaparool. Hoidla andmed krüpteeritakse isiklike või organisatsiooni võtmetega: kes saab andmebaasi koopia või sunnib seansi, peab nende lugemiseks selle parooli ikkagi murdma. Selle tugevus loeb seega kõige rohkem. Haldusseanss ise lubab kontot kustutada või kaksikautentimist eemaldada, andmata ligipääsu hoidla andmetele.

Valmistuge peaparooli unustamiseks enne, kui see juhtub: lubage oma konto hädaolukorra ligipääs ja organisatsioonis konto taastamine, mis nõuab seadistatud e-posti.

Kolm lisasätet, võetud tugevdamisjuhendist

• Mitte-root-konto: tõmmis töötab vaikimisi kasutajana root ja wiki peab paremaks anda sellele vähim õigusi. Lisage teenusele user: 1000:1000, koos kaustaga vw-data, mis kuulub sellele kasutajale.
• Proksi logid: WebSocketi ühendus edastab aadressis märgi, kujul access_token. Kui teie proksi hoiab oma logisid või saadab need välisele teenusele, soovitab wiki see väärtus seal varjata.
• Vähim paigaldusi: paigaldage andmekaust ja mitte midagi muud, ei oma isiklikku kausta ega /var/run/docker.sock.

SQLite, MariaDB või PostgreSQL

Sama tõmmis toetab kõiki kolme andmebaasi. Wiki kirjeldab SQLite’i kui enim kasutatut ja enim testitut ning soovitab seda enamikuks kasutuseks, välja arvatud juhul, kui vajate selgelt midagi muud.

DATABASE_URL: "postgresql://user_name:user_password@db_host:5432/vaultwarden"

Looge tühi andmebaas ja selle kasutaja: käivitamisel paneb Vaultwarden sinna ise oma skeemi. Erimärke sisaldav parool kirjutatakse selles aadressis protsendikodeeringus.

Tehke see valik enne hoidla täitmist. Wiki kirjeldab üleminekut SQLite’ilt PostgreSQL-ile tööriistaga pgloader ja täpsustab, et projekt seda teed ei toeta, et see käib teie vastutusel ja algab varukoopiaga.

E-kirjad: SMTP seadistus

Vaultwarden käivitub ilma e-postita, kuid mitmed funktsioonid sõltuvad sellest: kutsed, aadresside kontrollimine, parooliviitade saatmine, e-posti teel kaksikautentimine ja konto taastamine.

Simafri VPS-is läheb saatmine läbi autenditud SMTP-releesõlme pordis 587: selleks sobib teil juba olemasoleva e-postikonto aadress või Simafri Suite. Parool pannakse faili .env, nagu administraatorimärk:

SMTP_HOST: "smtp.example.com"
SMTP_FROM: "vault@example.com"
SMTP_PORT: "587"
SMTP_SECURITY: "starttls"
SMTP_USERNAME: "vault@example.com"
SMTP_PASSWORD: ${VAULTWARDEN_SMTP_PASSWORD}

• Kutselingid koostatakse muutujast DOMAIN ja jäävad kehtima 5 päeva.
• Microsoft: wiki märgib, et Hotmail, Outlook ja Office 365 nõuavad nüüd OAuth2, mida Vaultwarden veel ei toeta. Tuntav tõrge on No compatible authentication mechanism was found.
• Gmail: ette tuleb näha rakenduse parool, wiki järgi.
• Proov: haldusleht saadab testkirja. Kui muudate seal SMTP-sätet, salvestage kõigepealt, sest test kasutab salvestatud sätteid ja see salvestus loob faili config.json.

Kui midagi välja ei lähe, pakub wiki testida serverist ühendust releesõlmega. Käsk annab tulemuseks 0, kui releesõlm vastab:

timeout 5 bash -c 'cat < /dev/null > /dev/tcp/smtp.example.com/587'; echo $?

Varukoopiad

README tuletab meelde, et projekt ei vastuta andmete kadumise eest, ja soovitab tungivalt regulaarseid varukoopiaid. Wiki soovitab neid automaatsena, vähemalt üks koopia mujal. Siin on see, mida andmekaust SQLite’iga sisaldab:

Andmebaas, teenus töötamas

Versioonist 1.32.1 alates oskab Vaultwarden oma SQLite’i andmebaasi ise varundada, teenust peatamata:

docker exec -it vaultwarden /vaultwarden backup

Käsk kirjutab faili db_AAAAMMJJ_HHMMSS.sqlite3 andmebaasi kõrvale, kausta vw-data. Tõmmis ei sisalda ei sqlite3 ega cron: wiki soovitab ülesande serveris ajastada, vähemalt kord päevas. Eemaldage siis -it, sest ajastatud ülesandel pole terminali, ja sorteerige need failid, mis kuhjuvad.

Terve kaust, teenus peatatud

Kui andmebaasi ei kasutata, piisab kõigi selle failide lihtsast kopeerimisest. See on peatatud teenusega meetod, mida wiki toob Dockeri näitena, ja see võtab kaasa ka manused:

docker compose down
tar -czf vaultwarden-$(date +%F).tar.gz vw-data
docker compose up -d

Wiki peab krüpteerimiskihti kasulikuks, eriti kui varukoopia sisaldab administraatorimärki ja SMTP-juurdepääsu, ning nimetab rclone, restic ja rustic koopiate kaugele saatmiseks. MariaDB või PostgreSQL puhul lisage kaustale vw-data andmebaasi eksport.

Wiki palub mitte tugineda ainult kettatõmmistele, mida on keerulisem taastada. Hoidke seega neid rakendusepõhiseid koopiaid: serveri kettale pandud, jõuavad need ka selle öistesse varukoopiatesse.

Taastamine

1. Peatage Vaultwarden.
2. Asendage iga vw-data fail või kaust varundatud versiooniga.
3. Kui andmebaas pärineb käsust /vaultwarden backup, nimetage see db.sqlite3-ks ja kustutage kõigepealt iga olemasolev fail db.sqlite3-wal: mittesobiv žurnaal võib andmebaasi rikkuda. Kui see pärineb otsesest koopiast, taastage koos db.sqlite3 ja selle db.sqlite3-wal.
4. Käivitage uuesti ja kontrollige, et saate hoidla avada.

Wiki soovitab seda harjutust aeg-ajalt korrata, hoides kohapealsetest andmetest koopiat: nii veendute, et varukoopia toimib.

Uuendused

Wiki annab kaks käsku, mida käivitatakse kaustast, kus asub compose.yaml. Andmekaust jääb paigale:

docker compose pull
docker compose up -d

Need uuendused loevad rohkem kui mujal. Mobiilirakendused ja brauserilaiendused uuenevad ise ning wiki hoiatab, et versioonierinevus serveriga võib põhjustada äkilisi rikkeid. Tõmmisega kaasa tulev veebihoidla jääb alati oma serveriga kooskõlla.

Projektil pole väljalaskekalendrit: jälgige selle väljalaskemärkmeid ja tehke varukoopia vahetult enne iga uuendust. Mõni neist sisaldab turvaparandusi, nagu 1.37.5 1. novembrist 2026, mille märkmed soovitavad uuendada võimalikult kiiresti. Need märkmed hoiatavad ka, et alates versioonist 1.37.5 takistab vigane konfiguratsiooniväärtus Vaultwardeni käivitumist: lugege enne uuendamist oma keskkonnafail üle. Lehe /admin diagnostika näitab, kas uuem versioon on olemas.

Kes mida teeb Managed VPS-is

Ise majutamine nõuab lisaks rakendusele ka serveri hoidmist. Managed VPS-is võtavad meie meeskonnad serveri enda hoole alla ja jälgivad teie instantsi proaktiivselt; Vaultwarden jääb teie tarkvaraks oma sätete ja andmetega.

Kui eelistate, et meie meeskonnad sekkuksid rakendusse endasse, arveldatakse see teenus tunni- või kindlahinnaga, hinnapakkumine edastatakse enne sekkumist.