Vaultwarden: Vaš lastni trezor za gesla

Vaultwarden je lahek strežnik za aplikacije in razširitve brskalnika Bitwarden. Vaša gesla so tako shranjena na Vašem lastnem VPS. To pa zahteva skrbnost: če Vaš strežnik odpove ali Vam manjka varnostna kopija, ostanete brez svojih gesel.

Vsak recept nadgrajuje delovno mapo /srv/diensten s Caddy iz Vaša delovna mapa s compose.yaml, .env in Caddy. V compose.yaml dodate storitev, v Caddyfile blok, za ime pa zapis A in AAAA (glejte Zapis A in AAAA v razdelku Moje domene).

1. DNS

Ustvarite zapis A in AAAA za kluis.example.com.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Na strani z izdajami Vaultwarden preverite, katera različica je najnovejša, in jo vpišite v oznako.

3. Caddyfile in zagon

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. Skrbniški žeton v .env

Skrbniški zaslon /admin zavarujete z žetonom. Vanj ne vpišite berljivega gesla, temveč zgoščeno vrednost (hash). To vrednost ustvarite s samim Vaultwarden, zdaj ko vsebnik teče:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

V .env vpišite vrstico VW_ADMIN_TOKEN='$argon2id$...', z enojnimi narekovaji. Vsebnik znova zaženite z sudo docker compose up -d. Na /admin se prijavite z geslom, ki ste ga vtipkali, ne z zgoščeno vrednostjo.

5. Zaprtje registracije

1. Odprite https://kluis.example.com in ustvarite svoj račun ter račune svoje družine ali sodelavcev.
2. V compose.yaml nastavite SIGNUPS_ALLOWED: "false".
3. Izvedite sudo docker compose up -d.

Nove osebe nato povabite prek skrbniškega zaslona. Če želite, da se vabila pošiljajo po e-pošti, nastavite SMTP prek poštnega predala na vratih 587 (glejte Obratni DNS in pošiljanje pošte z Vašega VPS).

Varnostna kopija

Vse je shranjeno v mapi /srv/diensten/vw-data: podatkovna zbirka, priloge in ključi. Vključite jo v svojo varnostno kopijo restic (glejte Pravilno varnostno kopiranje podatkovnih zbirk in nosilcev Docker) in preizkusite obnovitev. Wiki Vaultwarden opisuje, kako podatkovno zbirko varno kopirate, medtem ko teče.

Nasvet: Vaše aplikacije in razširitve brskalnika hranijo kopijo Vašega trezorja. Če Vaš strežnik za kratek čas izpade, lahko svoja gesla še vedno berete, ne morete pa jih spreminjati.