在数字时代，密码安全的重要性怎么强调都不为过。然而现实中，大多数人仍在使用同一个密码注册所有网站，或者把密码记录在手机备忘录、浏览器自动保存中——这些都是极其危险的做法。商业密码管理器如1Password、LastPass虽然方便，但你的所有密码都存储在他们的服务器上，一旦遭遇数据泄露就全盘皆输。2022年底LastPass的安全事件就是前车之鉴——攻击者获取了用户的加密密码库副本，虽然数据是加密的，但这种风险让人不寒而栗。在NAS上自建Vaultwarden密码管理服务，则能让你的密码库完全掌握在自己手中。本文将在基础部署之上，重点讲解安全加固和跨设备同步的高级配置，帮助你打造一个既安全又便捷的私有密码保险箱。
Vaultwarden基础部署回顾与最新特性
Vaultwarden（原名Bitwarden_RS）是用Rust语言重写的Bitwarden服务端，它完全兼容Bitwarden官方客户端，但资源占用不到官方服务端的十分之一——内存仅需30-50MB，CPU几乎可以忽略不计，非常适合运行在NAS这种资源有限的设备上。经过多年的持续开发，Vaultwarden已经支持了Bitwarden的大部分功能，包括：组织管理、紧急访问、密码库分享、TOTP两步验证、附件存储、密码健康报告等。
Docker部署Vaultwarden的核心步骤很简单：拉取vaultwarden/server最新镜像，映射80端口用于Web访问，将数据目录映射到NAS的共享文件夹中，设置ADMIN_TOKEN环境变量来保护管理面板。但仅仅这样部署是不够安全的——Vaultwarden默认使用HTTP协议，所有数据（包括你的主密码）在网络中都是明文传输的。即使你只在局域网内使用，也强烈建议配置HTTPS加密。
最新的Vaultwarden 1.31版本带来了一些重要的安全改进。首先是支持WebAuthn（即FIDO2）硬件安全密钥作为两步验证方式，这是目前安全性最高的2FA方案，远比短信验证码安全。其次是改进了管理员面板的安全设置，支持配置允许登录的IP地址白名单。此外还优化了移动端的同步性能，弱网环境下的离线体验更加流畅。
HTTPS加密与反向代理配置
为Vaultwarden配置HTTPS是安全加固的第一步，也是最重要的一步。没有HTTPS，你在浏览器或客户端中输入的主密码和所有凭据都可能被网络中的其他设备截获。配置HTTPS有两种主流方案：使用Caddy自动管理证书，或使用Nginx/Nginx Proxy Manager配合Let's Encrypt手动签发证书。
Caddy方案最省心。Caddy是一个现代化的Web服务器，它内置了Let's Encrypt客户端，能够自动申请和续期SSL证书，你几乎不需要做任何配置。在docker-compose.yml中添加一个Caddy容器，配置反向代理规则将Vaultwarden的80端口映射到你的域名上，Caddy就会自动处理HTTPS。你需要一个公网域名（可以从阿里云或Cloudflare以每年几元的成本获取），并将域名的A记录指向你家的公网IP。
如果你不想暴露公网端口，也可以使用Cloudflare Tunnel方案。Cloudflare Tunnel可以在不开放任何公网端口的情况下，将你NAS上的Vaultwarden服务安全地暴露到互联网上。所有流量都通过Cloudflare的CDN网络加密传输，你的家庭IP地址完全不会泄露。这种方案的优势是安全性极高——NAS不需要开放任何入站端口，极大地减少了被攻击的攻击面。而且Cloudflare免费套餐就提供了无限流量的Tunnel功能，个人使用完全足够。
对于只在局域网内使用的用户，可以使用mkcert工具生成本地可信的SSL证书。mkcert会在本机创建一个本地CA，并签发受本机信任的证书，这样即使没有公网域名，浏览器也不会报证书错误。不过这种方案的局限性是每台需要访问Vaultwarden的设备都需要安装mkcert的根证书。
安全加固与多设备同步优化
HTTPS只是安全的起点，要让Vaultwarden真正安全可靠，还需要进行一系列的加固措施。首先，禁用新用户注册——如果你的Vaultwarden只供自己和家人使用，务必在环境变量中设置SIGNUPS_ALLOWED=false，防止任何知道你服务地址的人注册账户。如果需要邀请新用户，可以临时开启注册，添加完成后再关闭。或者使用SIGNUPS_DOMAINS_WHITELIST参数，只允许特定邮箱域名注册。
其次，启用两步验证——这是防止主密码泄露后密码库被入侵的最后一道防线。Vaultwarden支持三种2FA方式：TOTP（如Google Authenticator）、WebAuthn（如YubiKey）和Duo（推送通知）。强烈推荐使用WebAuthn硬件安全密钥，它不仅能防止钓鱼攻击，还能在登录时省去手动输入6位验证码的步骤，体验比TOTP好得多。一把YubiKey 5的价格在200元左右，但能保护你所有的重要账户，绝对物有所值。
第三，配置紧急访问——这是很多人忽视但非常重要的功能。如果你因为某种原因无法访问自己的密码库（比如遗忘主密码、设备丢失、突发意外），紧急访问功能可以让指定的人在等待期后获得你的密码库访问权限。你可以在Bitwarden客户端的"设置"→"紧急访问"中添加信任的联系人，设置5-30天的等待期。等待期内在你未拒绝的情况下，联系人才能访问你的密码库。
在多设备同步方面，Vaultwarden继承了Bitwarden优秀的同步机制。所有Bitwarden官方客户端（Chrome/Firefox/Edge浏览器扩展、iOS/Android移动端、Windows/macOS/Linux桌面端）都完美兼容Vaultwarden服务端。首次使用时，在客户端的设置中将服务器URL改为你的Vaultwarden地址，然后登录即可。此后每次修改密码、添加条目，客户端都会自动同步到Vaultwarden服务端，其他设备也会在下次打开时自动拉取最新数据。即使NAS暂时离线，客户端也有本地缓存，你可以照常查看和使用已保存的密码，等NAS恢复后再自动同步。
最后提醒一点：NAS上的Vaultwarden数据必须做好备份。虽然你的密码库本身是加密的（使用你的主密码加密），但如果NAS硬盘损坏导致数据丢失，即使有备份也需要主密码才能解密。所以请务必记住你的主密码，并建议将主密码写下来锁在保险箱中，作为最后的保障。配置好Vaultwarden之后，你就能彻底告别密码焦虑，享受安全又便捷的数字生活了。
评论(0)