分享基于 bitwarden 的自建密码管理方案

[mrchi]

Bitwarden 是一个开源的密码管理器解决方案，拥有多个平台的客户端。它采用的方式是云端数据库、客户端同步和离线使用的模式，类似现在的 1password 。

我的方案采用 bitwarden_rs + HTTPS + Fail2Ban + 坚果云备份的方式，可以参考这篇笔记 https://mrchi.cc/posts/88980/

说一下优点吧：

• 基于 bitwarden 开源项目，用 ruby 实现的 bitwarden_rs，相比闭源代码，更安全一些，并且支持 docker 部署；
• HTTPS 保证传输安全，我用的 lets encrypt 自动续签证书；
• Fail2Ban 保护 bitwarden_rs 服务和 SSH 服务，报错三次即 ban 掉 IP，防止暴力穷举主密码；
• 根据 bitwarden 的文档，服务端数据是加密后存储的，解密需要用户设置的主密码，即使服务端被攻破，密码不那么容易泄露；
• 官方开发维护的多平台客户端(包括 Win/Mac/Linux/iOS/Andriod)和常用浏览器扩展，美观和易用性上都有保证；
• 支持 TOTP 二次认证码保存；
• 使用坚果云备份（免费额度就够了），不备份也可以，任何一个客户端的数据都可以导出，服务重建后再导入。

再说一下缺点：

• 浏览器扩展，每次打开浏览器都要重新输入主密码；
• 密码生成器，不知道为什么，生成的密码比 1password 看着丑了很多，会有重复字符；
• 浏览器里对域名的匹配不够智能；

以上，笔记就是随手记了一下（懒～）欢迎提问。

[mrchi]

@dreamramon 附件是怎么上传的呢？我这看 secure note 只有 text bool hide 三种字段。

[suifengdang666]

之前还在担心自建 bitwarden 服务器放出公网的安全性，原来 Fail2Ban 还能这样用，有空搭一个试试

[suifengdang666]

bitwarden_rs 自带 vip 功能，附件上传方式：以 win 客户端为例：
1 、先创建一个项目（密码或者笔记都行）
2 、点击项目，然后点“编辑”按钮
3 、在选择文件夹那个框有个 [附件] 按钮

[daisyfloor]

@neteroster 请教一下：
1.能备份到 google drive 么？或者说还有哪些备份选项可以选？
2.docker 部署的 bitwarden 是不是得 -p 127.0.0.1:xxxx:xxxx 以做到不把端口暴露给公网 ip 的访问？

您的 2. HTTPs: caddy2 自动 Let's Encrypt + 反代 docker 内 bitwarden 服务。 有没有配置笔记教程一类的可以分享，谢谢！（我是小白新手。。。）

[daisyfloor]

请教楼主：Fail2Ban 保护 bitwarden_rs 服务和 SSH 服务，报错三次即 ban 掉 IP ，防止暴力穷举主密码；

这个怎么针对具体服务设置保护呢？可以分享下方案么？

[neteroster]

@daisyfloor

1. 可以的。我的备份是依靠 rclone 这个工具，他所支持的存储服务都能够支持，种类丰富。具体参见这里： https://rclone.org/overview/
2. 理论上可以，但是我没试过，我是靠防火墙完成这一点的。

2. 实际上这一步非常简单，caddy 会自动帮你申请 HTTPS 证书（没记错应该你的域名要先解析到主机这一步才能成功）。

具体参见这里： https://caddyserver.com/docs/quick-starts/reverse-proxy

一行命令就可以搞定

[daisyfloor]

SSH 是内置的可以直接启用，Fail2Ban 如何保护 bitwarden_rs 服务呢?

[daisyfloor]

@neteroster 你用的是 caddy 自签证书还是他帮忙申请的第三方证书？ 2 者区别大么？

[neteroster]

@daisyfloor 他自己处理的，应该是自动申请的免费证书。
其实无所谓，就是加个密而已。甚至你不用 HTTPS

[neteroster]

@neteroster 都可以，因为整个传输过程传输的都是加密的数据。我用 HTTPS 单纯是因为不想浏览器写不安全。

[mrchi]

@daisyfloor https://mrchi.cc/posts/selfhosted-bitwarden/ 可以参考一下这篇，或者 bitwarden_rs （现在叫 vaultwarden 了）的官方 wiki