Vaultwarden局域网部署指南：轻量级密码管理方案

1. 为什么选择Vaultwarden作为局域网密码管理方案

密码管理器的选择一直是企业IT和个人数据安全的重要课题。在众多开源方案中，Bitwarden以其出色的安全设计和跨平台支持脱颖而出。但官方服务器对资源要求较高，而Vaultwarden（原Bitwarden_rs）作为轻量级替代品，仅需官方版1/10的资源消耗就能实现核心功能。实测在树莓派4B上，Vaultwarden容器内存占用长期稳定在50MB左右，却可以支持20人团队同时使用。

HTTPS在局域网环境中的必要性常被低估。我曾协助某设计公司排查过一起内部数据泄露事件，攻击者正是通过嗅探未加密的HTTP流量获取了共享密码。这印证了即使在内网，传输加密也绝非多余。Vaultwarden强制要求HTTPS连接的特性，实际上帮我们规避了这类风险。

2. 部署前的环境准备与规划

2.1 硬件需求与系统选择

我推荐使用x86架构的迷你主机作为服务器，比如Intel NUC或类似设备。实测在Ubuntu Server 22.04 LTS上，4核CPU+8GB内存的配置可轻松支撑50人团队。如果预算有限，树莓派4B 4GB版也能胜任小型团队需求。关键是要确保设备能7×24小时稳定运行——我曾见过用旧笔记本当服务器导致散热故障的案例。

2.2 网络环境配置要点

局域网部署最容易被忽视的是IP地址规划。建议为服务器分配静态IP，比如192.168.1.100/24。这个选择基于三点考虑：避开DHCP分配范围（通常从.100开始）；便于记忆；位于常用子网段。以下是典型家庭/办公室网络配置对比表：

提示：在路由器设置端口转发时，建议将外部443端口映射到服务器443端口，而非其他端口。这可以避免客户端需要额外配置端口号的麻烦。

3. 分步部署Vaultwarden服务

3.1 Docker安装与优化配置

对于新手，我强烈推荐使用Docker部署。以下是在Ubuntu上的完整安装流程：

bash复制# 卸载旧版本（如果有）
sudo apt-get remove docker docker-engine docker.io containerd runc

# 安装依赖
sudo apt-get update
sudo apt-get install ca-certificates curl gnupg lsb-release

# 添加Docker官方GPG密钥
sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg

# 设置稳定版仓库
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

# 安装Docker引擎
sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io docker-compose-plugin

# 验证安装
sudo docker run hello-world

安装后建议进行三项优化：

1. 将用户加入docker组避免sudo：sudo usermod -aG docker $USER
2. 配置日志轮转防止磁盘爆满
3. 设置容器自动重启：docker update --restart=always <容器名>

3.2 Vaultwarden容器部署

使用docker-compose是最可靠的方式。创建docker-compose.yml文件：

yaml复制version: '3'

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: always
    environment:
      - WEBSOCKET_ENABLED=true
      - SIGNUPS_ALLOWED=false
      - INVITATIONS_ALLOWED=true
      - ADMIN_TOKEN=your_secure_token_here
    volumes:
      - ./vw-data:/data
    ports:
      - "80:80"
      - "443:443"
      - "3012:3012"

启动命令：docker-compose up -d

这里有几个关键参数需要注意：

• WEBSOCKET_ENABLED：启用实时同步功能
• SIGNUPS_ALLOWED：生产环境应设为false
• ADMIN_TOKEN：用于访问/admin接口，务必使用强密码生成器创建

4. 局域网HTTPS解决方案详解

4.1 自签名证书实战

虽然Let's Encrypt是公网首选，但在局域网我更推荐自签名证书。以下是OpenSSL生成证书的完整流程：

bash复制# 生成CA私钥
openssl genrsa -out ca.key 4096

# 生成CA证书
openssl req -new -x509 -days 3650 -key ca.key -out ca.crt

# 生成服务器私钥
openssl genrsa -out server.key 2048

# 创建证书签名请求(CSR)
openssl req -new -key server.key -out server.csr

# 用CA签署服务器证书
openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt

# 合并证书链
cat server.crt ca.crt > server-chain.crt

证书部署后，需要在所有客户端设备安装CA证书。以Windows为例：

1. 双击ca.crt文件
2. 选择"安装证书"
3. 存储位置选"本地计算机"
4. 选择"将所有证书放入下列存储"，浏览到"受信任的根证书颁发机构"

4.2 Nginx反向代理配置

直接暴露Vaultwarden容器不是最佳实践。我推荐使用Nginx作为反向代理，配置示例如下：

nginx复制server {
    listen 443 ssl;
    server_name vault.yourdomain.local;

    ssl_certificate /path/to/server-chain.crt;
    ssl_certificate_key /path/to/server.key;

    location / {
        proxy_pass http://vaultwarden:80;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    location /notifications/hub {
        proxy_pass http://vaultwarden:3012;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
    }

    location /notifications/hub/negotiate {
        proxy_pass http://vaultwarden:80;
    }
}

这个配置实现了三个关键功能：

1. HTTPS终端卸载
2. WebSocket路由（用于实时通知）
3. 正确的头部传递

5. 客户端配置与日常使用技巧

5.1 各平台客户端配置要点

在浏览器扩展配置时，需要特别注意"服务器URL"字段。应该填写：

• 正确格式：https://your-server-ip-or-name
• 错误示例：http://... 或 https://...:8080（除非你改了端口）

移动端配置有个常见坑：iOS版Bitwarden默认会尝试连接官方服务器。需要在登录页面先点击"设置"，然后输入自建服务器URL，再返回登录。

5.2 安全策略最佳实践

根据企业安全审计经验，我建议设置以下策略：

1. 主密码强度要求：最少12字符，包含大小写+数字+特殊符号
2. 启用两步验证：推荐TOTP（如Google Authenticator）
3. 密码库超时：客户端设置为5分钟
4. 禁用密码复制：对于高安全环境

团队管理时，利用Collections功能可以精细控制访问权限。比如：

• 财务组只能访问财务相关密码
• 开发组有单独的服务器凭证集合
• 公共密码对所有成员可见

6. 故障排查与性能优化

6.1 常见问题解决方案

问题1：客户端提示"无法连接到服务器"

• 检查服务器IP是否正确
• 确认防火墙放行了443端口：sudo ufw allow 443/tcp
• 测试基础连接：curl -vk https://server-ip

问题2：HTTPS证书警告

• 确认所有设备安装了CA证书
• 检查证书有效期：openssl x509 -in server.crt -noout -dates
• 确保证书链完整

6.2 备份与恢复策略

我设计了一套自动化备份方案，通过crontab每天凌晨3点执行：

bash复制#!/bin/bash
BACKUP_DIR="/backups/vaultwarden"
DATE=$(date +%Y%m%d)
docker exec vaultwarden sqlite3 /data/db.sqlite3 ".backup '$BACKUP_DIR/db-$DATE.sqlite3'"
tar -czf $BACKUP_DIR/data-$DATE.tar.gz -C /path/to/vw-data .
find $BACKUP_DIR -type f -mtime +30 -delete

这个脚本会：

1. 使用SQLite在线备份数据库
2. 打包附件目录
3. 自动清理30天前的旧备份

恢复时只需停止服务，替换db.sqlite3和数据目录，然后重启容器。实测恢复2000条记录的密码库仅需2分钟。