Vaultwarden: το δικό σας θησαυροφυλάκιο κωδικών πρόσβασης

Το Vaultwarden είναι ένας ελαφρύς server για τις εφαρμογές και τις επεκτάσεις browser του Bitwarden. Οι κωδικοί πρόσβασής σας βρίσκονται έτσι στο δικό σας VPS. Αυτό απαιτεί όμως φροντίδα: αν ο server σας χαλάσει ή λείπει το back-up σας, χάνετε τους κωδικούς πρόσβασής σας.

Κάθε συνταγή βασίζεται στον φάκελο εργασίας /srv/diensten με το Caddy από το Ο φάκελος εργασίας σας με compose.yaml, .env και Caddy. Προσθέτετε ένα service στο compose.yaml, ένα μπλοκ στο Caddyfile, καθώς και μια εγγραφή A και AAAA για το όνομα (δείτε Εγγραφή A και AAAA στα Τα domains μου).

1. DNS

Δημιουργήστε μια εγγραφή A και AAAA για το kluis.example.com.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Ελέγξτε στη σελίδα εκδόσεων του Vaultwarden ποια είναι η νεότερη έκδοση και ορίστε την στο tag.

3. Caddyfile και εκκίνηση

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. Το token διαχείρισης στο .env

Την οθόνη διαχείρισης /admin την προστατεύετε με ένα token. Μην βάλετε εκεί έναν αναγνώσιμο κωδικό πρόσβασης, αλλά ένα hash. Αυτό το hash το δημιουργείτε με το ίδιο το Vaultwarden, τώρα που το container εκτελείται:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

Στο .env προσθέστε τη γραμμή VW_ADMIN_TOKEN='$argon2id$...', με μονά εισαγωγικά. Επανεκκινήστε το container με sudo docker compose up -d. Συνδέεστε στο /admin με τον κωδικό πρόσβασης που πληκτρολογήσατε, όχι με το hash.

5. Κλείσιμο των εγγραφών

1. Ανοίξτε το https://kluis.example.com και δημιουργήστε τον δικό σας λογαριασμό, καθώς και τους λογαριασμούς της οικογένειας ή των συναδέλφων σας.
2. Στο compose.yaml ορίστε SIGNUPS_ALLOWED: "false".
3. Εκτελέστε sudo docker compose up -d.

Στη συνέχεια προσκαλείτε νέα άτομα μέσω της οθόνης διαχείρισης. Αν θέλετε οι προσκλήσεις να αποστέλλονται μέσω email, ρυθμίστε το SMTP μέσω ενός γραμματοκιβωτίου στη θύρα 587 (δείτε Reverse DNS και αποστολή email από το VPS σας).

Back-up

Όλα βρίσκονται στον φάκελο /srv/diensten/vw-data: η βάση δεδομένων, τα συνημμένα και τα κλειδιά. Συμπεριλάβετέ τον στο back-up σας με restic (δείτε Σωστή συμπερίληψη βάσεων δεδομένων και Docker volumes στα αντίγραφα ασφαλείας) και δοκιμάστε την επαναφορά. Το wiki του Vaultwarden περιγράφει πώς αντιγράφετε με ασφάλεια τη βάση δεδομένων ενώ αυτή εκτελείται.

Συμβουλή: Οι εφαρμογές και οι επεκτάσεις browser διατηρούν ένα αντίγραφο του θησαυροφυλακίου σας. Αν ο server σας τεθεί προσωρινά εκτός λειτουργίας, μπορείτε ακόμη να διαβάσετε τους κωδικούς πρόσβασής σας, αλλά όχι να τους αλλάξετε.