Vaultwarden - pradžios vadovas

Vaultwarden yra lengva savarankiškai talpinama slaptažodžių tvarkyklė, suderinama su visais Bitwarden klientais – naršyklių plėtiniais, mobiliosiomis ir darbalaukio programomis. Serveris visiškai sukonfigūruotas su Vaultwarden, Nginx atvirkštiniu tarpiniu serveriu ir SSL. Tiesiog atidarykite žiniatinklio saugyklą, susikurkite paskyrą ir pradėkite saugoti slaptažodžius.

1 žingsnis – Patikrinkite, ar Vaultwarden veikia

Jūsų serverio IP adresas ir root slaptažodis nurodyti kliento skydelio puslapyje Server Details. Atidarykite naršyklę ir eikite į:

https://your.server.ip

Jei prisijungimo puslapis įsikelia, Vaultwarden veikia teisingai.

Pastaba: Pagal numatytuosius nustatymus serveris naudoja savarankiškai pasirašytą SSL sertifikatą. Naršyklė parodys saugumo įspėjimą – spustelėkite „Advanced” ir tęskite. Let’s Encrypt sertifikatą galėsite įdiegti vėliau (4 žingsnis).

Jei serverį patalpinote už VyOS maršrutizatoriaus privačiame tinkle, arba sukonfigūruokite prievadų peradresavimą (80 ir 443), arba prisijunkite per VPN ir pasiekite Vaultwarden privačiu serverio IP.

2 žingsnis – Paskyros sukūrimas

Prisijungimo puslapyje spustelėkite Create account. Įveskite el. pašto adresą, vardą ir pasirinkite pagrindinį slaptažodį.

Svarbu: Pagrindinis slaptažodis šifruoja visus jūsų duomenis. Vaultwarden jo niekada nesaugo – jį praradus, duomenų atkurti neįmanoma. Pasirinkite stiprų, įsimenamą slaptažodį.

Užsiregistravę prisijunkite el. paštu ir pagrindiniu slaptažodžiu. Tai jūsų asmeninė saugykla, kurioje galite laikyti slaptažodžius, užrašus, korteles ir tapatybes.

3 žingsnis – Bitwarden klientų prijungimas

Vaultwarden suderinamas su visais oficialiais Bitwarden klientais:

Naršyklės plėtinys: Chrome, Firefox, Edge, Safari
Darbalaukio programa: Windows, macOS, Linux
Mobilioji programėlė: iOS, Android

Prieš prisijungdami nukreipkite klientą į savo serverį:

Prisijungimo ekrane spustelėkite regiono pasirinkimą (arba krumpliaračio piktogramą) ir pasirinkite Self-hosted
Įveskite serverio URL: https://your.server.ip
Išsaugokite ir prisijunkite el. paštu ir pagrindiniu slaptažodžiu

Prisijungus visi slaptažodžiai automatiškai sinchronizuojami visuose įrenginiuose.

4 žingsnis – Domeno ir SSL nustatymas (rekomenduojama)

Geriausiam darbui su Bitwarden klientais nustatykite domeną su tinkamu SSL sertifikatu:

1. Sukurkite DNS A įrašą, nukreipiantį domeną į serverio IP (pvz., vault.yourdomain.com → your.server.ip).

2. Prisijunkite prie serverio per SSH ir paleiskite:

ssh root@your.server.ip

/opt/setup/get-ssl.sh vault.yourdomain.com

3. Atnaujinkite Vaultwarden konfigūraciją:

sed -i "s|^DOMAIN=.*|DOMAIN=https://vault.yourdomain.com|" /opt/vaultwarden/.env
systemctl restart vaultwarden

4. Bitwarden klientuose pakeiskite serverio URL į https://vault.yourdomain.com.

5 žingsnis – Administravimo skydelis (neprivaloma)

Vaultwarden turi administravimo skydelį naudotojams, organizacijoms ir serverio nustatymams valdyti. Norėdami jį įjungti, prisijunkite per SSH ir nustatykite administratoriaus žetoną:

echo 'ADMIN_TOKEN=your-secret-token-here' >> /opt/vaultwarden/.env
systemctl restart vaultwarden

Tada atidarykite https://your.server.ip/admin ir įveskite žetoną. Administravimo skydelyje galite:

Kviesti ar trinti naudotojus
Išjungti atvirą registraciją
Valdyti organizacijas
Peržiūrėti serverio diagnostiką

Po įdiegimo

Fail2Ban – apsauga nuo slaptažodžių spėjimo atakų

Jūsų serveryje įdiegta Fail2Ban iš anksto sukonfigūruotas apsaugoti SSH ir Vaultwarden žiniatinklio sąsają nuo slaptažodžių spėjimo atakų.

Taisyklė	Maks. bandymų	Blokavimo trukmė
SSH	5 nesėkmingi prisijungimai	10 minučių
Vaultwarden	5 nesėkmingi prisijungimai	1 valanda

Naudingos komandos:

# Check banned IPs
fail2ban-client status sshd
fail2ban-client status vaultwarden

# Unban an IP
fail2ban-client set sshd unbanip 1.2.3.4

Jei netyčia užsiblokavote, prisijunkite per VNC konsolę kliento skydelyje ir atblokuokite savo IP.

Paslaugų valdymas

# Check status
systemctl status vaultwarden nginx

# Restart Vaultwarden
systemctl restart vaultwarden

# View logs
journalctl -u vaultwarden -f

# Edit config
nano /opt/vaultwarden/.env

# Backup database (SQLite)
cp /opt/vaultwarden/data/db.sqlite3 /root/vaultwarden-backup-$(date +%Y%m%d).sqlite3

Atnaujinimai

Vaultwarden įdiegtas kaip atskiras vykdomasis failas ir automatiškai neatnaujinamas. Norėdami atnaujinti, pakeiskite vykdomąjį failą naujesne versija iš oficialaus Docker atvaizdo:

# On a machine with Docker, extract the new binary:
docker pull vaultwarden/server:latest-alpine
CID=$(docker create vaultwarden/server:latest-alpine)
docker cp $CID:/vaultwarden /tmp/vaultwarden
docker rm $CID

# Copy to your server and replace:
scp /tmp/vaultwarden root@your.server.ip:/tmp/
ssh root@your.server.ip "systemctl stop vaultwarden && cp /tmp/vaultwarden /opt/vaultwarden/vaultwarden && chmod +x /opt/vaultwarden/vaultwarden && systemctl start vaultwarden"

OS atnaujinimai:

apt update && apt upgrade -y

Įdiegta programinė įranga

Komponentas	Išsami informacija
Ubuntu	24.04 LTS
Vaultwarden	Naujausia (SQLite duomenų bazė)
Nginx	Atvirkštinis tarpinis serveris su SSL
Certbot	Let’s Encrypt SSL
Fail2Ban	SSH ir Vaultwarden apsauga nuo slaptažodžių spėjimo atakų

Trikčių šalinimas

Problema	Sprendimas
Naršyklė rodo SSL įspėjimą	Su numatytuoju savarankiškai pasirašytu sertifikatu tai įprasta. Nustatykite domeną ir paleiskite `/opt/setup/get-ssl.sh vault.yourdomain.com` patikimam sertifikatui gauti
Nepavyksta pasiekti žiniatinklio saugyklos	Paslaugų tikrinimas: `systemctl status vaultwarden nginx`. Įsitikinkite, kad naudojate `https://` (ne http)
Bitwarden klientas negali prisijungti	Įsitikinkite, kad kliento nustatymuose pasirinkote „Self-hosted” ir įvedėte teisingą serverio URL su `https://`
Pamiršote pagrindinį slaptažodį	Pagrindinio slaptažodžio atkurti neįmanoma – taip sukurta sąmoningai (nulinių žinių šifravimas). Jei įjungėte administravimo skydelį, galite ištrinti paskyrą ir sukurti naują
Užblokavo Fail2Ban	Atblokuokite savo IP per VNC konsolę kliento skydelyje: `fail2ban-client set sshd unbanip 1.2.3.4`
Pamiršote root slaptažodį	Atkurkite jį per VNC konsolę kliento skydelyje

Table of Contents