bitwarden Настройка локального менеджера паролей Bitwarden и https доступа в локальной сети

[Deniom]

Вступление или зачем нам вообще это надо?

Во первых это просто интересно и полезно иметь свои собственные локальные ресурсы. Во вторых (хотя наверное это все таки во первых…) в наше неспокойное время порой лучше иметь такие вещи как пароли под своим полным контролем. Даже если у вас нет своего личного сервера но есть рабочий компьютер возможно есть смысл поднять менеджер паролей на данном компьютере в виртуальной среде.

Какие главные преимущества дает Bitwarden развернутый локально:

1.     Безопасность, вы полностью контролируете свои пароли (но вы же должны заботиться о бекапах)

2.     Возможность использовать платные функции которые не доступны на основном Bitwarden

3.     Кросплатформеность

4.     Динамическая синхронизация между устройствами (если сервер доступен только локально можно выполнять синхронизацию раз в день)

5.     Возможность добавления в менеджер паролей ключи для 2FA, при этом эти ключи будут синхронизированы со всеми вашими устройствами.

Отдельно хочу отметить что даже если ваш сервер Bitwarden будет не доступен длительное время то вы сможете использовать менеджер паролей на вашем телефоне, синхронизация произойдет при следующем подключении к серверу.

Что нам понадобиться:

1.     Линукс сервер или виртуальная машина на 512мб ОЗУ (этого даже с избытком).

2.     Немного времени и умение читать инструкцию (иногда гуглить если что-то не понятно)

3.     Домашний dns сервер типа adguard home или pi-hole (не обязательно)

Так же настоятельно рекомендую выполнять данную настройку через portainer так как это может избавить от некоторых проблем с запуском nginx. Все настройки приведены для установки без использования portainer но разница заключается только в том как вы будете создавать файлы docker-compose, все остальные файлы и директории создаем по инструкции.

Подготовка сервера

Выполним первоначальную настройку сервера для установки. Все дальнейшая установка будет выполняться с использованием docker-compose.

Обновляем репозитории и пакеты:

apt update -y && apt upgrade -y

Устанавливаем Docker:

apt install curl && curl -fsSL https://get.docker.com -o get-docker.sh  && sh get-docker.sh

Запускаем и включаем службу Docker

systemctl start docker  && systemctl enable docker

Устанавливаем Docker Compose:

curl -L --fail https://raw.githubusercontent.com/linuxserver/docker-docker-compose/master/run.sh -o /usr/local/bin/docker-compose  && chmod +x /usr/local/bin/docker-compose

Для доступа в панель администратора Vaultwarden (Bitwarden) генерируются уникальный ключ, который в открытом виде храниться в файлах настроек сервера менеджера паролей. Данный ключ не дает доступа к данным конечных пользователей, но он позволяет нанести значительный вред системе вплоть до полной поломки. Разработчики Vaultwarden (Bitwarden) рекомендуют использовать программу argon2 установим ее.

 apt install argon2

Установка и настройка менеджера паролей Bitwarden

Менеджер паролей Bitwarden не является opensource проектом, но у данного проекта существует полностью совместимая opensource копия серверной части под названием vaultwarden. Более подробно можете изучить в официальном репозитории проекта. Именно процесс развертки серверной части vaultwarden рассмотрим далее.

Установка будет выполняться в виде docker-compose проекта. Для этого необходимо подготовить дополнительные файлы.

Создаем основную рабочую папку где будут располагаться файлы, в том числе зашифрованные базы данных. Для бекапа данных достаточно скопировать файлы данной директории и поместить в новый проект.

mkdir /vaultwarden
cd /vaultwarden

При первоначальной установке с базовыми настройками  vaultwarden генерирую пароль для панели администратора в виде большого ключа символов который храниться в открытом виде в файле конфигурации сервера. Для обеспечения безопасности сервера необходимо устанавливать сервер с заранее созданным паролем администратора. Более подробно можно почитать в официальной справке

Создадим зашифрованный пароль с использованием argon2

echo -n "MySecretPassword" | argon2 "$(openssl rand -base64 32)" -e -id -k 19456 -t 2 -p 1

Результат вывода будет шифрованное представление пароля вида:

Цитата

$argon2id$v=19$m=19456,t=2,p=1$YnV6N0lrZHZoOWpGdS9rcmdIWHR5RW1zQjJtVU4xdHhHNis2STVQN25uTT0$wEoFtCRQBcbayI6z+tVFZwV1mT2pXOLicEJdXq4st2w

Копируем полученный результат в файл параметров запуска vaultwarden

nano .env

Вставляем полученный ключ в файл с указанием параметра, не каких изменений в строку вносить не надо. Обязательно используйте свой пароль и свой результат шифрования для обеспечения безопасности!!!!

VAULTWARDEN_ADMIN_TOKEN=$argon2id$v=19$m=19456,t=2,p=1$YnV6N0lrZHZoOWpGdS9rcmdIWHR5RW1zQjJtVU4xdHhHNis2STVQN25uTT0$wEoFtCRQBcbayI6z+tVFZwV1mT2pXOLicEJdXq4st2w

Сохраняем файл и создаем файл docker-compose

nano docker-compose.yaml

Вставляем в файл следующий код:

version: "2.1"
services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    network_mode: bridge
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Europe/Moscow
      - ADMIN_TOKEN=${VAULTWARDEN_ADMIN_TOKEN}
    volumes:
      - /vaultwarden:/data
      - /letsencrypt:/letsencrypt
    ports:
      - 7277:80
      - 3012:3012
    restart: unless-stopped

В папке /vaultwarden будут размещены основные файлы сервера vaultwarden в том числе зашифрованные базы данных паролей.

Папка /letsencrypt используется как общая папка для хранения ssl сертификатов, данный параметр не обязательный если не планируете использовать vaultwarden без прокси сервера.

Запускаем сборку и установку контейнера

docker-compose up -d

Выходим в корневой каталог

cd

Фактически на данном этапе установка менеджера паролей закончена и интерфейс доступен по адресу

http://IP_SERVER:7277/#/login

Для доступа в админ панель

http://IP_SERVER:7277/admin

На данном этапе доступна настройка серверной части через админ панель, но для домашнего использования можно использовать стандартные параметры.

Проверяем доступ к административным настройкам сервера перейдя по адресу

http://IP_SERVER:7277/admin

Для входа используем пароль который указывали в команде шифрования пароля: MySecretPassword

Для использования как менеджер паролей необходимо создать пользователя на странице http://IP_SERVER:7277/#/login

Создаем нового пользователя

И видим такое сообщение

Справка vaultwarden дает несколько решений по исправлению данной проблемы но по факту все они сводятся к получению полноценного https соединения с сервером.

У нас есть несколько способов решения данной проблемы:

1. Настройка полноценного проброса сервера во внешний интернет (с использованием доменного имени или средств на подобии keendns)

2. Создание https соединения до сервера в локальной сети.

3. Выпуск само подписанных сертификатов с добавлением в список доверенных (способ не рекомендуется, полноценная работа не проверялась).

Установка прокси сервера nginx

Для решения задачи настройки https и банального удобства воспользуемся прокси сервером nginx. Прокси сервер позволяет избежать необходимости указывать порт на котором находится конкретный сервис при обращении к нему.

Создадим основной рабочий каталог nginx.

mkdir /nginx

Перейдем в каталог и создадим файл docker-compose

cd /nginx
nano docker-compose.yaml

Вставляем в файл следующий код:

version: '3.8'
services:
  app:
    image: 'jc21/nginx-proxy-manager:latest'
    ports:
      # These ports are in format <host-port>:<container-port>
      - '80:80' # Public HTTP Port
      - '443:443' # Public HTTPS Port
      - '81:81' # Admin Web Port
    environment:
      # Mysql/Maria connection parameters:
      DB_MYSQL_HOST: "db"
      DB_MYSQL_PORT: 3306
      DB_MYSQL_USER: "nginx-pm"
      DB_MYSQL_PASSWORD: "nginx-pm"
      DB_MYSQL_NAME: "npm"
      # Uncomment this if IPv6 is not enabled on your host
      # DISABLE_IPV6: 'true'
    volumes:
      - /nginx:/data
      - /letsencrypt:/etc/letsencrypt
    depends_on:
      - db

  db:
    image: 'jc21/mariadb-aria:latest'
    environment:
      MYSQL_ROOT_PASSWORD: 'npm-root-pm'
      MYSQL_DATABASE: 'npm'
      MYSQL_USER: 'nginx-pm'
      MYSQL_PASSWORD: 'nginx-pm'
    volumes:
      - /nginx/mysql:/var/lib/mysql

Обязательно изменяем параметры авторизации

DB_MYSQL_USER

DB_MYSQL_PASSWORD

MYSQL_ROOT_PASSWORD

Значения одинаковых переменных в блоке app и db должны совпадать.

Сохраняем файл и запускаем контейнер.

docker-compose up -d

Nginx обязательно должен занимать 80 и 443 порты, он будет выполнять роль регулировщика который будет направлять по заданному адресу на конкретный порт нашего сервера. Проверяем работу наших контейнеров

docker ps 

Мы видим что запущено три контейнера.

Переходим по адресу http://IP_SERVER:81 в панель администратора nginx.

Данные для авторизации по умолчанию:

Email:         [email protected]

Password:  changeme

Ps: Иногда при первом запуске можно словить ошибку 502 Bad Gatewey при указании логина и пароля, в таком случае советую воспользоваться справкой по nginx или попробовать переустановить контейнер, на сколько я понял эта проблема самого веб интерфейса настройки nginx.

После первого входа меняем логин и пароль пользователя. На этом работа с самим сервером закончена, все дальнейшие настройки выполняем через веб интерфейс.

Настройка HTTPS доступа к локальным серверам без внешнего доступа.

Для настройки https необходимо получить доменное имя второго уровня или старше. Можно купить свой домен на любом из сервисов который предоставляет услугу регистрации (домены в зоне ru стоят в среднем 300-400 рублей в год).

Для настройки локального HTTPS необходимо обратить внимание на следующее. Если у вас нет белого ip адреса или динамического ip, то есть по если вы открываете 80 порт на вашем роутере и пробуете зайти по ip адресу который получил роутер в интернет то вам необходимо использовать вариант альтернативный вариант получения сертификата. Стандартный сценарий подразумевает доступ к вашему сайту на 80 порту из интернета.

Какие варианты получения сертификата у нас есть если мы не хотим или не можем открыть внешний доступ. Можно купить сертификат у нашего днс провайдера или воспользоваться получением сертификатов через службу DNS Challeng из платных хостеров в ру сегменте услугу точно предоставляет reg.ru (более подробно можно посмотреть в настройках nginx далее).

Но что если желания тратить деньги нет вообще? Не беда есть бесплатные альтернативы. Существуют бесплатный dns провайдер duckdns который позволяет зарегистрировать до пяти бесплатных доменов третьего уровня на одну четную запись.

Заходим на https://www.duckdns.org/ и проходим простую регистрацию.

Для дальнейших настроек нам надо получить token с основной страницы

Создаем новый домен

Именно адрес test-domen222.duckdns.org и будет тем адресом по которому мы разместим наш ресурс под https.

Возвращаемся в nginx

Переходим в раздел Proxy Hosts и создаем новую запись

 

Переходим на закладку SSL и выбираем режим получения сертификата по DNS, выбираем провайдера DuckDNS и указываем токен с главной страницы DuckDNS. Токен указываем без скобок и кавычек прямо как он указан на сайте.

Указываем электронную почту (не обязательно живую проверки нет) куда будет приходить информация о вашем сертификате и соглашаемся  с условиями.

После того как окно будет закрыто (может висеть достаточно долго) мы получим готовый сертификат для указанного нами адреса dns.

Все полученные нами сертификаты расположены в папке /letsencrypt/live/ дальнейшем сам nginx будет поддерживать сертификаты в данной папке в актуальном состоянии, что можно использовать для других сервисов.

На странице DuckDNS поле ip у созданного домена заполниться вашим текущим Ip, если у вас не белый ip адрес можете его оставить без изменений или указать любой хоть 0.0.0.0 для нашей задачи мы не будем использовать мировой DNS.

Мы почти закончили осталось только объяснить нашим устройствам что если мы указываем адрес test-domen222.duckdns.org нам надо идти не в общий интернет а на наш реверс прокси nginx.

Для этого воспользуемся перезаписью dns запросов. Если вы используете adguard home или pi hole в локальной сети (очень рекомендую) то делается это проще простого.

Находим раздел перезапись dns

И добавляем правило по которому обращение к созданному нами адресу ведет на наш nginx.

Все после сохранения настройка закончена, для корректного обращения к адресу возможно необходимо сбросить кеш устройства или воспользоваться режимом инкогнито у браузера.

Если же в вашей сети нет локального dns можно воспользоваться встроенным переопределением dns windows.

Подробнее можете ознакомиться тут

На этом все наши настройки закончены, можно использовать локальный https для доступа к локальным ресурсам без проброса во внешний мир.

Отключение панели администратора после настройки

Для отключения панели администратора по адресу  test-domen222.duckdns.org/admin надо в файле параметров vaultwarden расположенного по пути /vaultwarden/config.json закомментировать строку содержащую admin_token и перезапустить контейнер.

А так же из docker-compose файла убрать строку описание токена:

- ADMIN_TOKEN=${VAULTWARDEN_ADMIN_TOKEN}

После этого при попытке зайти на админ панель будем получать предупреждение

Для включения выполняем обратные действия, раскомментируем токен и перезапустим контейнер.

Настройка клиентов Bitwarden

Для использования можем установить расширение основного Bitwarden и изменить в нем сервер который хотим использовать.

Аналогичные настройки по указанию собственного хостинга есть в мобильном и десктоп (не рекомендую) клиенте.

[Deniom]

Рекомендую использовать вместо npm реверс прокси caddy, подробно описал в другой статье