前言
很久以前就在少数派等网站中发现有一类密码存储的第三方软件.迫于懒惰一直也没有安装使用.但是最近发现,在连公司的一些vpn或网站时老是密码记不住.今天抽出了点时间去安装
安装bitwarden_rs
bitwarden_rs并不是 bitwarden 的官方项目，而是从官方项目中衍生的第三方实现。bitwarden 的 server 项目使用 .NET 语言和 MSSQL 数据库，生成的 docker 镜像体积较大，第三方作者于是用 rust重写，并使用 sqlite 数据库，并实现了官方的一些付费功能，该 docker 镜像体积较小，方便部署。
拉取docker镜像
docker pull vaultwarden/server:latest
新建数据目录：
mkdir bitwarden-data
新建环境变量配置文件 bitwarden.env。
DOMAIN=your_domain
SIGNUPS_ALLOWED=false
WEB_VAULT_ENABLED=true
INVITATIONS_ALLOWED=false
WEBSOCKET_ENABLED=true
ROCKET_WORKERS=20
SHOW_PASSWORD_HINT=false
LOG_FILE=/mydata/bitwarden.log
IP_HEADER=X-Real-IP
TZ=Asia/Shanghai
注意第一次运行时，先把 SIGNUPS_ALLOWED 设置为 true，并修改 DOMAIN，以方便创建用户和导入密码库。
启动 docker 容器
export BITWARDEN_DATA=/mydata/bitwarden-data/
docker run -d \
-v $BITWARDEN_DATA:/data/ \
-p 127.0.0.1:10001:80 \
-p 127.0.0.1:10002:3012 \
--env-file=$BITWARDEN_DATA/bitwarden.env \
--name=bitwarden \
--restart=always \
bitwardenrs/server
配置Nginx
作为一个密码管理器服务，为了安全必须开启 HTTPS。关于 HTTPS 的配置请参考项目 secure-nginx。
这里只展示为 Bitwarden 设置的请求转发规则
# reverse proxy
location / {
proxy_pass http://127.0.0.1:10001;
include nginxconfig.io/proxy.conf;
}
# notification
location /notifications/hub {
proxy_pass http://127.0.0.1:10002;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
}
# notification
location /notifications/hub/negotiate {
proxy_pass http://127.0.0.1:10001;
include nginxconfig.io/proxy.conf;
}
配置 fail2ban
fail2ban 是一个通过监视应用日志并进行正则表达式匹配，将多次登录失败的 IP 通过设置 iptables 进行封禁的工具。给 Bitwarden 设置 fail2ban 可以一定程度上防止主密码遭受暴力破解。
安装
apt install fail2ban
在设置前，检查 docker 容器的 TZ 环境变量和 IP_HEADER 环境变量设置正确。前者影响日志的时间，后者影响日志中记录的真实访问 IP。
首先创建一个过滤器，在 /etc/fail2ban/filter.d 目录新增文件 bitwarden.local，写入以下内容
[INCLUDES]
before = common.conf
[Definition]
failregex = ^.*Username or password is incorrect\. Try again\. IP: <ADDR>\. Username:.*$
ignoreregex =
然后创建一个 jail，在 /etc/fail2ban/jail.d 目录新增文件 bitwarden.local，写入以下内容
[bitwarden]
enabled = true
port = 80,443
name = bitwarden
filter = bitwarden
banaction = iptables-multiport
logpath = /root/bitwarden-data/bitwarden.log
maxretry = 3
bantime = 14400
findtime = 14400
假如你对外监听的端口不是 80 和 443，那么要修改成实际使用的端口，否则 fail2ban 会设置成错误的 iptables，无法禁止 IP 对实际端口的访问。
修改完成后，重启 fail2ban
systemctl restart fail2ban
此时即可故意输入错误的密码，查看 jail 状态中的记录数是否增加
fail2ban-client status bitwarden
输错达到 3 次后，当前 IP 应该就不能再访问服务器的 80 和 443 端口。解封 IP
fail2ban-client set bitwarden unbanip XX.XX.XX.XX
备份
Bitwarden 的模式决定了服务器端的数据永远是最新的，虽然 iOS 和 Android 的客户端支持导出数据，但客户端不会在后台自动同步密码库。若长时间未打开，密码库将不会是最新版本。
此时对服务器数据进行备份就显得尤为重要。服务器端数据是加密的，没有主密码很难解开（话不能说的太绝对）。我们可以定时将将容器挂载目录打包，上传到网络存储。
这里以通过 webdav 上传到坚果云为例。
到 /etc/cron.daily 目录下新建文件 bitwarden-backup，写入以下内容
#!/bin/sh
set -e
filename="bitwarden-`date +%F`.tar.gz"
cd /root
tar czf "${filename}" bitwarden-data/
curl -u "USERNAME:APP_PASSWD" -T "${filename}" "https://dav.jianguoyun.com/dav/bitwarden/"
rm "${filename}"
增加可执行权限
chmod a+x bitwarden-backup
评论区