Настройка локального менеджера паролей Vaultwarden
Возврат:: к списку статей мои статьи
Вступление или зачем нам вообще это надо?
Во первых это просто интересно и полезно иметь свои собственные локальные ресурсы. Во вторых (хотя наверное это все таки во первых…) в наше неспокойное время порой лучше иметь такие вещи как пароли под своим полным контролем. Даже если у вас нет своего личного сервера но есть рабочий компьютер возможно есть смысл поднять менеджер паролей на данном компьютере в виртуальной среде.
Какие главные преимущества дает Bitwarden развернутый локально:
1. Безопасность, вы полностью контролируете свои пароли (но вы же должны заботиться о бекапах)
2. Возможность использовать платные функции которые не доступны на основном Bitwarden
3. Кросплатформеность
4. Динамическая синхронизация между устройствами (если сервер доступен только локально можно выполнять синхронизацию раз в день)
5. Возможность добавления в менеджер паролей ключи для 2FA, при этом эти ключи будут синхронизированы со всеми вашими устройствами.
Отдельно хочу отметить что даже если ваш сервер Bitwarden будет не доступен длительное время то вы сможете использовать менеджер паролей на вашем телефоне, синхронизация произойдет при следующем подключении к серверу.
Что нам понадобиться:
1. Линукс сервер или виртуальная машина на 512мб ОЗУ (этого даже с избытком).
2. Немного времени и умение читать инструкцию (иногда гуглить если что-то не понятно)
3. Домашний dns сервер типа adguard home или pi-hole (не обязательно)
Так же настоятельно рекомендую выполнять данную настройку через portainer так как это может избавить от некоторых проблем с запуском nginx. Все настройки приведены для установки без использования portainer но разница заключается только в том как вы будете создавать файлы docker-compose, все остальные файлы и директории создаем по инструкции.
Подготовка сервера
Выполним первоначальную настройку сервера для установки. Все дальнейшая установка будет выполняться с использованием docker-compose.
Обновляем репозитории и пакеты:
apt update -y && apt upgrade -y
Устанавливаем Docker:
apt install curl && curl -fsSL https://get.docker.com -o get-docker.sh && sh get-docker.sh
Запускаем и включаем службу Docker
systemctl start docker && systemctl enable docker
Устанавливаем Docker Compose:
curl -L --fail https://raw.githubusercontent.com/linuxserver/docker-docker-compose/master/run.sh -o /usr/local/bin/docker-compose && chmod +x /usr/local/bin/docker-compose
Для доступа в панель администратора Vaultwarden (Bitwarden) генерируются уникальный ключ, который в открытом виде храниться в файлах настроек сервера менеджера паролей. Данный ключ не дает доступа к данным конечных пользователей, но он позволяет нанести значительный вред системе вплоть до полной поломки. Разработчики Vaultwarden (Bitwarden) рекомендуют использовать программу argon2 установим ее.
apt install argon2
Установка и настройка менеджера паролей Bitwarden
Менеджер паролей Bitwarden не является opensource проектом, но у данного проекта существует полностью совместимая opensource копия серверной части под названием vaultwarden. Более подробно можете изучить в официальном репозитории проекта. Именно процесс развертки серверной части vaultwarden рассмотрим далее.
Установка будет выполняться в виде docker-compose проекта. Для этого необходимо подготовить дополнительные файлы.
Создаем основную рабочую папку где будут располагаться файлы, в том числе зашифрованные базы данных. Для бекапа данных достаточно скопировать файлы данной директории и поместить в новый проект.
mkdir /vaultwarden
cd /vaultwarden
При первоначальной установке с базовыми настройками vaultwarden генерирую пароль для панели администратора в виде большого ключа символов который храниться в открытом виде в файле конфигурации сервера. Для обеспечения безопасности сервера необходимо устанавливать сервер с заранее созданным паролем администратора. Более подробно можно почитать в официальной справке
Создадим зашифрованный пароль с использованием argon2
echo -n "MySecretPassword" | argon2 "$(openssl rand -base64 32)" -e -id -k 19456 -t 2 -p 1
Результат вывода будет шифрованное представление пароля вида:
$argon2id$v=19$m=19456,t=2,p=1$YnV6N0lrZHZoOWpGdS9rcmdIWHR5RW1zQjJtVU4xdHhHNis2STVQN25uTT0$wEoFtCRQBcbayI6z+tVFZwV1mT2pXOLicEJdXq4st2w
Копируем полученный результат в файл параметров запуска vaultwarden
nano .env
Вставляем полученный ключ в файл с указанием параметра, не каких изменений в строку вносить не надо. Обязательно используйте свой пароль и свой результат шифрования для обеспечения безопасности!!!!
VAULTWARDEN_ADMIN_TOKEN=$argon2id$v=19$m=19456,t=2,p=1$YnV6N0lrZHZoOWpGdS9rcmdIWHR5RW1zQjJtVU4xdHhHNis2STVQN25uTT0$wEoFtCRQBcbayI6z+tVFZwV1mT2pXOLicEJdXq4st2w
Сохраняем файл и создаем файл docker-compose
nano docker-compose.yaml
Вставляем в файл следующий код:
services:
vaultwarden:
image: vaultwarden/server:latest
container_name: vaultwarden
network_mode: bridge
environment:
- PUID=1000
- PGID=1000
- TZ=Europe/Moscow
- ADMIN_TOKEN=${VAULTWARDEN_ADMIN_TOKEN}
volumes:
- /vaultwarden:/data
- /letsencrypt:/letsencrypt
ports:
- 7277:80
- 3012:3012
restart: unless-stopped
В папке /vaultwarden будут размещены основные файлы сервера vaultwarden в том числе зашифрованные базы данных паролей.
Папка /letsencrypt используется как общая папка для хранения ssl сертификатов, данный параметр не обязательный если не планируете использовать vaultwarden без прокси сервера.
Запускаем сборку и установку контейнера
docker-compose up -d
Выходим в корневой каталог
cd
Фактически на данном этапе установка менеджера паролей закончена и интерфейс доступен по адресу
Для доступа в админ панель
На данном этапе доступна настройка серверной части через админ панель, но для домашнего использования можно использовать стандартные параметры.
Проверяем доступ к административным настройкам сервера перейдя по адресу
Для входа используем пароль который указывали в команде шифрования пароля: MySecretPassword
Для использования как менеджер паролей необходимо создать пользователя на странице http://IP_SERVER:7277/#/login
Создаем нового пользователя
](https://openode.xyz/uploads/monthly_2023_06/image.png.bcc5c0950d7d6eb11a2a8d7f4b3d00fd.png)
И видим такое сообщение
Справка vaultwarden дает несколько решений по исправлению данной проблемы но по факту все они сводятся к получению полноценного https соединения с сервером.
У нас есть несколько способов решения данной проблемы:
1. Настройка полноценного проброса сервера во внешний интернет (с использованием доменного имени или средств на подобии keendns)
2. Создание https соединения до сервера в локальной сети.
3. Выпуск само подписанных сертификатов с добавлением в список доверенных (способ не рекомендуется, полноценная работа не проверялась).
Настройка HTTPS доступа к локальным серверам без внешнего доступа.
Для настройки https необходимо получить доменное имя второго уровня или старше. Можно купить свой домен на любом из сервисов который предоставляет услугу регистрации (домены в зоне ru стоят в среднем 300-400 рублей в год).
Для настройки локального HTTPS необходимо обратить внимание на следующее. Если у вас нет белого ip адреса или динамического ip, то есть по если вы открываете 80 порт на вашем роутере и пробуете зайти по ip адресу который получил роутер в интернет то вам необходимо использовать вариант альтернативный вариант получения сертификата. Стандартный сценарий подразумевает доступ к вашему сайту на 80 порту из интернета.
Какие варианты получения сертификата у нас есть если мы не хотим или не можем открыть внешний доступ. Можно купить сертификат у нашего dns провайдера или воспользоваться получением сертификатов через службу DNS Challeng из платных хостеров в ру сегменте услугу точно предоставляет reg.ru (более подробно можно посмотреть в настройках nginx далее).
Но что если желания тратить деньги нет вообще? Не беда есть бесплатные альтернативы. Существуют бесплатный dns провайдер duckdns который позволяет зарегистрировать до пяти бесплатных доменов третьего уровня на одну четную запись.
Заходим на https://www.duckdns.org/ и проходим простую регистрацию.
Для дальнейших настроек нам надо получить token с основной страницы
Создаем новый домен
Именно адрес test-domen222.duckdns.org и будет тем адресом по которому мы разместим наш ресурс под https.
Подбородная настройка описана в Настройка реверс прокси Caddy и Fail2Ban в docker
На странице DuckDNS поле ip у созданного домена заполниться вашим текущим Ip, если у вас не белый ip адрес можете его оставить без изменений или указать любой хоть 0.0.0.0 для нашей задачи мы не будем использовать мировой DNS.
Мы почти закончили осталось только объяснить нашим устройствам что если мы указываем адрес test-domen222.duckdns.org нам надо идти не в общий интернет а на наш реверс прокси nginx.
Для этого воспользуемся перезаписью dns запросов. Если вы используете adguard home или pi hole в локальной сети (очень рекомендую) то делается это проще простого.
Находим раздел перезапись dns
И добавляем правило по которому обращение к созданному нами адресу ведет на наш nginx.
Все после сохранения настройка закончена, для корректного обращения к адресу возможно необходимо сбросить кеш устройства или воспользоваться режимом инкогнито у браузера.
Если же в вашей сети нет локального dns можно воспользоваться встроенным переопределением dns windows.
Подробнее можете ознакомиться тут
На этом все наши настройки закончены, можно использовать локальный https для доступа к локальным ресурсам без проброса во внешний мир.
Настройка клиентов Bitwarden
Для использования можем установить расширение основного Bitwarden и изменить в нем сервер который хотим использовать.
Аналогичные настройки по указанию собственного хостинга есть в мобильном и десктоп (не рекомендую) клиенте.