Language: ka

Vaultwarden: საკუთარი პაროლების მენეჯერის დაყენება VPS-ზე

Vaultwarden საშუალებას გაძლევთ პაროლები საკუთარ სერვერზე შეინახოთ და კომპიუტერს, ტელეფონსა და ბრაუზერს შორის დაასინქრონოთ. ის მუშაობს Bitwarden-ის ოფიციალურ აპლიკაციებსა და გაფართოებებთან, რომლებშიც თქვენი სერვერის მისამართს მიუთითებთ.

ქვემოთ განვიხილავთ, როგორი VPS სჭირდება Vaultwarden-ს, როგორ გავუშვათ ის Ubuntu-ზე Docker Compose-ით, როგორ გავთიშოთ ღია რეგისტრაცია, ჩავრთოთ HTTPS და მოვაწყოთ სარეზერვო ასლები.

Vaultwarden ხუთ ნაბიჯად

დაწყებისთვის მინიმალური გეგმა ასეთია:

1. შექმენით Ubuntu-იანი VPS და მიმართეთ ქვედომენი მასზე, მაგალითად vault.example.com.
2. დააყენეთ Docker და Docker Compose.
3. გაუშვით Vaultwarden Caddy-სთან ერთად ავტომატური HTTPS-ისთვის.
4. შექმენით პირველი ანგარიში და გამორთეთ ღია რეგისტრაცია.
5. ჩართეთ ორფაქტორიანი ავთენტიფიკაცია, განახლებები და სარეზერვო ასლები.

პირადი საცავისთვის ან პატარა ოჯახისთვის ჩაშენებული SQLite მონაცემთა ბაზა საკმარისია. ცალკე PostgreSQL სერვერი, როგორც წესი, საჭირო არ არის.

რა არის Vaultwarden

Vaultwarden არის Bitwarden API-ის არაოფიციალური სერვერული იმპლემენტაცია, დაწერილი Rust-ზე და გათვლილი თვითჰოსტინგზე. ის თავსებადია Bitwarden-ის ოფიციალურ კლიენტებთან: ვებინტერფეისთან, მობილურ და დესკტოპ აპლიკაციებთან, ბრაუზერის გაფართოებებსა და CLI-სთან.

საცავის მონაცემები მომხმარებლის მოწყობილობაზე იშიფრება სერვერზე გაგზავნამდე. VPS სინქრონიზაციას უკეთებს დაშიფრულ მონაცემთა ბაზას, მაგრამ მთავარ პაროლს ვერ ხედავს და მისი დაკარგვის შემთხვევაში ვერ აღადგენს.

Vaultwarden Bitwarden-ის ოფიციალური პროდუქტი არ არის. განახლებებზე, ხელმისაწვდომობაზე, HTTPS-ზე, სარეზერვო ასლებსა და VPS-ის უსაფრთხოებაზე პირადად მფლობელი აგებს პასუხს.

Vaultwarden და Bitwarden: რა განსხვავებაა

პარამეტრი	Bitwarden Cloud	Vaultwarden
სერვერი	Bitwarden-ის ინფრასტრუქტურა	თქვენი VPS ან სახლის სერვერი
აპლიკაციები	Bitwarden-ის კლიენტები	იგივე კლიენტები Self-hosted რეჟიმში
მოვლა	პროვაიდერი ასრულებს	მფლობელი ასრულებს
სარეზერვო ასლებზე კონტროლი	სერვისით შეზღუდული	სრული
დაყენება	ანგარიშის რეგისტრაცია	დომენის, Docker-ისა და VPS-ის კონფიგურაცია

Vaultwarden შეეფერება მათ, ვისაც სერვერულ მხარეზე კონტროლი სურს და მზად არის განაახლოს Linux და გადაამოწმოს სარეზერვო ასლები. ღრუბლოვანი სერვისი უფრო პრაქტიკულია, თუ ადმინისტრირებას არ გსურთ. თვითჰოსტინგი სისტემას ავტომატურად უსაფრთხოს არ ხდის — პასუხისმგებლობა მფლობელზე გადადის.

Vaultwarden-ის სერვერის მოთხოვნები

პირადი გამოყენებისთვის გონივრული საწყისი კონფიგურაციაა:

• 1 vCPU;
• 1–2 GB RAM;
• 10–20 GB SSD ან NVMe;
• Ubuntu 24.04 LTS;
• საჯარო IP-მისამართი და დომენი;
• ღია 80 და 443 პორტები.

ეს Ubuntu-სთვის, Docker-ისთვის, Caddy-სა და განახლებებისთვის პრაქტიკული მარაგია და არა პროექტის მკაცრი მინიმუმი. ათეულობით მომხმარებლის, ბევრი დანართის ან რამდენიმე კონტეინერის შემთხვევაში უმჯობესია მინიმუმ 2 GB RAM აირჩიოთ.

როგორ დავაყენოთ Vaultwarden VPS-ზე

ამ მაგალითში გამოიყენება Ubuntu 24.04 და ქვედომენი vault.example.com. ყველა ფაილში ის თქვენი მისამართით ჩაანაცვლეთ.

1. მოაწესრიგეთ DNS და მოამზადეთ Ubuntu

შექმენით A DNS-ჩანაწერი, რომელიც VPS-ის IPv4-მისამართზე მიუთითებს. შემდეგ SSH-ით დაუკავშირდით:

ssh root@SERVER_IP
apt update && apt upgrade -y
ufw allow OpenSSH
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable

მიმდინარე SSH-სესია არ დახუროთ, სანამ ახალ კავშირს არ გადაამოწმებთ.

2. დააყენეთ Docker და Docker Compose

დაამატეთ Docker-ის ოფიციალური რეპოზიტორია:

apt install -y ca-certificates curl
install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg \
  -o /etc/apt/keyrings/docker.asc
chmod a+r /etc/apt/keyrings/docker.asc

tee /etc/apt/sources.list.d/docker.sources > /dev/null <<EOF
Types: deb
URIs: https://download.docker.com/linux/ubuntu
Suites: $(. /etc/os-release && echo "${UBUNTU_CODENAME:-$VERSION_CODENAME}")
Components: stable
Architectures: $(dpkg --print-architecture)
Signed-By: /etc/apt/keyrings/docker.asc
EOF

apt update
apt install -y docker-ce docker-ce-cli containerd.io \
  docker-buildx-plugin docker-compose-plugin
docker compose version

3. შექმენით კონფიგურაცია

mkdir -p /opt/vaultwarden
cd /opt/vaultwarden

შექმენით compose.yaml:

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data:/data

  caddy:
    image: caddy:2-alpine
    container_name: vaultwarden-caddy
    restart: unless-stopped
    depends_on:
      - vaultwarden
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - ./caddy-data:/data
      - ./caddy-config:/config

შექმენით Caddyfile:

vault.example.com {
    reverse_proxy vaultwarden:80
}

გარედან მხოლოდ Caddy არის ხელმისაწვდომი. Vaultwarden-ის კონტეინერზე წვდომა Docker-ის ქსელში ხდება, მონაცემები კი /opt/vaultwarden/vw-data-ში ინახება. მიმდინარე კონფიგურაციაში WebSocket-ის ცალკე პორტი საჭირო არ არის.

4. გაუშვით Vaultwarden

docker compose up -d
docker compose ps
docker compose logs --tail=100 caddy

გახსენით https://vault.example.com. თუ DNS უკვე VPS-ზე მიუთითებს და 80 და 443 პორტები ხელმისაწვდომია, Caddy TLS-სერტიფიკატს ავტომატურად მიიღებს. თუ საიტი არ იხსნება, შეამოწმეთ DNS, firewall და ის, ხომ არ იყენებს ამ პორტებს სხვა ვებ-სერვერი.

5. შექმენით ანგარიში და გამორთეთ რეგისტრაცია

დაარეგისტრირეთ პირველი ანგარიში. გამოიყენეთ გრძელი, უნიკალური მთავარი პაროლი და შეინახეთ საგანგებო ასლი Vaultwarden-ის გარეთ: სერვერის ადმინისტრატორს მთავარი პაროლის აღდგენა ან განულება არ შეუძლია.

რეგისტრაციის შემდეგ compose.yaml-ში შეცვალეთ:

SIGNUPS_ALLOWED: "false"

გამოიყენეთ ეს პარამეტრი:

docker compose up -d

სხვა ადამიანები ანგარიშების შექმნას ვეღარ შეძლებენ. ახალი მომხმარებლის დასამატებლად შეგიძლიათ დროებით ჩართოთ რეგისტრაცია ან მოაწყოთ მოწვევები.

როგორ დავაკავშიროთ Bitwarden-ის აპლიკაცია

ცალკე Vaultwarden-ის კლიენტის დაყენება საჭირო არ არის. Bitwarden-ის აპლიკაციის ან გაფართოების შესვლის ეკრანზე აირჩიეთ Self-hosted და შეიყვანეთ:

https://vault.example.com

ეს მისამართი გამოიყენეთ კომპიუტერზე, ტელეფონსა და ბრაუზერში. მიგრაციისთვის შემოიტანეთ წინა პაროლების მენეჯერიდან მიღებული ექსპორტი. გადატანისთანავე წაშალეთ დაუშიფრავი CSV ან JSON ფაილი და ის ელფოსტით ან საჯარო ბმულით არ გაგზავნოთ.

Vaultwarden-ის უსაფრთხო კონფიგურაცია

გაშვების შემდეგ რამდენიმე ნაბიჯი შეასრულეთ:

• ჩართეთ TOTP ან WebAuthn და აღდგენის კოდები ცალკე შეინახეთ;
• SIGNUPS_ALLOWED გამორთული დატოვეთ;
• გამოიყენეთ SSH-გასაღებები და Ubuntu რეგულარულად განაახლეთ;
• Vaultwarden-ის კონტეინერის შიდა პორტი არ გამოაჩინოთ;
• ერთსა და იმავე VPS-ზე საეჭვო კონტეინერები არ გაუშვათ;
• გადაამოწმეთ, რომ სარეზერვო ასლების აღდგენა შესაძლებელია.

პირადი საცავისთვის /admin პანელი ჩვეულებრივ საჭირო არ არის. თუ ჩართავთ, გამოიყენეთ გრძელი ტოკენი Argon2 ჰეშის სახით და, სადაც შესაძლებელია, წვდომა IP-მისამართით ან VPN-ით შეზღუდეთ. უბრალო ტექსტის ADMIN_TOKEN შენახვა არასასურველია.

განახლებამდე შექმენით სარეზერვო ასლი, შემდეგ კი გაუშვით:

cd /opt/vaultwarden
docker compose pull
docker compose up -d

სერვერი რეგულარულად უნდა განახლდეს: Bitwarden-ის კლიენტები დამოუკიდებლად გამოდის, ამიტომ Vaultwarden-ის ძალიან ძველმა ვერსიამ მათთან თავსებადობა შეიძლება დაკარგოს.

Vaultwarden-ის სარეზერვო ასლი

მთავარი SQLite მონაცემთა ბაზა vw-data/db.sqlite3-შია, ხოლო დანართები ცალკე ფაილებად ინახება. მოქმედი მონაცემთა ბაზა ჩვეულებრივი cp ბრძანებით არ დააკოპიროთ: იმ მომენტში ჩაწერილმა ოპერაციამ ასლი შეიძლება არათანმიმდევრული გახადოს.

უსაფრთხო snapshot შექმენით ჩაშენებული ბრძანებით:

docker exec vaultwarden /vaultwarden backup

მონაცემთა დირექტორიაში ცალკე db_.sqlite3 ფაილი გამოჩნდება. მასთან ერთად შეინახეთ attachments, sends, config.json თუ ის შეიქმნა, და rsa_key ფაილები.

იმავე VPS-ზე შენახული ასლი სერვერის წაშლისა და დისკის დაზიანებისგან ვერ დაგიცავთ. ასლები ავტომატურად გაგზავნეთ სხვა მოწყობილობაზე ან ცალკე ობიექტურ საცავში, სასურველია დამატებითი დაშიფვრით. პერიოდულად აღდგენის ტესტიც ჩაატარეთ.

რომელი VPS ავირჩიოთ Vaultwarden-ისთვის

2 GB RAM-იანი საბაზისო Linux VPS საკმარისია პირადი ან საოჯახო საცავისთვის. ის დამატებით ადგილს ტოვებს Ubuntu-სთვის, Docker-ისთვის, Caddy-სთვის, განახლებებისა და ავტომატური სარეზერვო ასლებისთვის.

Vaultwarden-ის გაშვება შეგიძლიათ tropic.host-ის საწყის VPS-ზე და რესურსები მოგვიანებით გაზარდოთ, თუ სერვერს სხვა თვითჰოსტინგის სერვისებსაც დაამატებთ. პაროლების მენეჯერისთვის სტაბილური ქსელი, მუდმივი საჯარო მისამართი და საიმედო დისკი დამატებით CPU-ბირთვებზე მნიშვნელოვანია.

სახლის სერვერიც გამოდგება, მაგრამ მაშინ თავად უნდა უზრუნველყოთ გარე წვდომა, HTTPS, სტაბილური ელექტროენერგია და ავარიის შემდეგ აღდგენა. VPS ჩვეულებრივ უფრო მარტივია, როცა საცავი ნებისმიერი ქსელიდან უნდა მუშაობდეს.

დასკვნა

Vaultwarden მოსახერხებელი თვითჰოსტინგის პაროლების მენეჯერია მათთვის, ვისაც Bitwarden-ის კლიენტების გამოყენება სურს, ხოლო სერვერული მხარის საკუთარ ინფრასტრუქტურაზე დატოვება. დასაწყებად საკმარისია მცირე VPS, დომენი, Docker Compose და Caddy.

მთავარი პასუხისმგებლობა დაყენების შემდეგ იწყება: გამორთეთ რეგისტრაცია, ჩართეთ 2FA, განაახლეთ კონტეინერები და სერვერის გარეთ შეინახეთ შემოწმებული სარეზერვო ასლები.

FAQ

შეიძლება Vaultwarden-ის დაყენება დომენის გარეშე?

ტექნიკურად შეგიძლიათ გამოიყენოთ ლოკალური მისამართი, თუმცა ვებ-საცავს HTTPS-ის უსაფრთხო კონტექსტი სჭირდება. სხვადასხვა მოწყობილობიდან წვდომისთვის დომენი და TLS-სერტიფიკატი უფრო მარტივი არჩევანია.

რამდენი RAM სჭირდება Vaultwarden-ს?

ერთი ან რამდენიმე მომხმარებლისთვის, როგორც წესი, 1 GB RAM საკმარისია. 2 GB-იანი VPS სისტემისთვის, Docker-ისთვის, Caddy-სა და განახლებებისთვის უფრო კომფორტულ მარაგს იძლევა.

მუშაობს Vaultwarden Bitwarden-ის მობილურ აპლიკაციასთან?

დიახ. შესვლის ეკრანზე აირჩიეთ თვითჰოსტინგის სერვერი და შეიყვანეთ თქვენი Vaultwarden-ის სრული HTTPS-მისამართი.

რა მოხდება, თუ VPS დროებით მიუწვდომელი გახდება?

ადრე სინქრონიზებული მონაცემები ჩვეულებრივ რჩება კლიენტის ლოკალურ დაშიფრულ ქეშში. თუმცა სინქრონიზაცია, ახალ მოწყობილობაზე შესვლა და ცვლილებების მიღება სერვერის აღდგენამდე არ იმუშავებს.

შეიძლება დავიწყებული მთავარი პაროლის აღდგენა /admin-ის მეშვეობით?

არა. ადმინისტრატორს სერვერისა და ანგარიშების მართვა შეუძლია, მაგრამ მომხმარებლის საცავის გაშიფვრის გასაღები არ აქვს. მთავარი პაროლი და აღდგენის კოდები ცალკე უნდა შეინახოთ.