Vaultwarden: Vaš vlastiti trezor za lozinke

Vaultwarden je lagani poslužitelj za aplikacije i proširenja preglednika tvrtke Bitwarden. Vaše lozinke tada se nalaze na Vašem vlastitom VPS-u. To ipak zahtijeva pažnju: ako se Vaš poslužitelj pokvari ili nemate sigurnosnu kopiju, izgubit ćete svoje lozinke.

Svaki recept nastavlja se na radnu mapu /srv/diensten s Caddyjem iz članka Vaša radna mapa s compose.yaml, .env i Caddyjem. Dodajete uslugu u compose.yaml, blok u Caddyfile te A i AAAA zapis za naziv (pogledajte A i AAAA zapis u Moje domene).

1. DNS

Izradite A i AAAA zapis za kluis.example.com.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Na stranici s izdanjima Vaultwardena provjerite koja je verzija najnovija i upišite je u oznaku (tag).

3. Caddyfile i pokretanje

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. Token za administraciju u .env

Administracijsko sučelje /admin zaštitite tokenom. U njega ne upisujte čitljivu lozinku, nego hash. Taj hash izradite pomoću samog Vaultwardena, sada kada je spremnik pokrenut:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

U .env upišite redak VW_ADMIN_TOKEN='$argon2id$...', s jednostrukim navodnicima. Ponovno pokrenite spremnik naredbom sudo docker compose up -d. Na /admin prijavljujete se lozinkom koju ste upisali, a ne hashom.

5. Zatvaranje registracije

1. Otvorite https://kluis.example.com i izradite svoj račun te račune članova obitelji ili kolega.
2. U compose.yaml postavite SIGNUPS_ALLOWED: "false".
3. Pokrenite sudo docker compose up -d.

Nove korisnike nakon toga pozivate putem administracijskog sučelja. Želite li da se pozivnice šalju e-poštom, postavite SMTP putem poštanskog sandučića na portu 587 (pogledajte Reverse DNS i slanje e-pošte s Vašeg VPS-a).

Sigurnosna kopija

Sve se nalazi u mapi /srv/diensten/vw-data: baza podataka, privici i ključevi. Uključite je u svoju restic sigurnosnu kopiju (pogledajte Ispravna izrada sigurnosnih kopija baza podataka i Docker volumena) i isprobajte vraćanje. Wiki Vaultwardena opisuje kako sigurno kopirati bazu podataka dok je pokrenuta.

Savjet: Vaše aplikacije i proširenja preglednika čuvaju kopiju Vašeg trezora. Ako Vaš poslužitelj nakratko prestane raditi, svoje lozinke i dalje možete čitati, ali ih ne možete mijenjati.