Az SMTP levelezés konfigurálása a Vaultwardenben

Hogyan konfigurálhatom az SMTP e-mailt a Vaultwardenben? Biztos vagyok benne, hogy veled is megtörtént már: megpróbálsz biztonságos jelszót létrehozni, és a rendszer arra kér, hogy mindent megadj, a cirill betűktől kezdve a háziállatod Morse-kódos nevéig. Ez egy igazi rémálom, ami oda vezet, hogy elkövetjük azt a hibát, hogy mindenhez ugyanazt a jelszót használjuk, vagy egy papír alapú jegyzetfüzetre hagyatkozunk, amely, ha elveszítjük, teljesen kiszolgáltatottá teszi digitális életünket. Ennek a fejfájásnak az elkerülése érdekében az ideális megoldás az, ha átváltunk egy... jelszókezelőegyfajta digitális széf, ahol csak egy főkulcsot kell megjegyezni a többi eléréséhez.

Ha Ön nem bízik abban, hogy adatait egy nagyvállalat felhőjében hagyja, és inkább a teljes kontrollt részesíti előnyben, akkor a saját tárhely vagy saját tárhely Ez a helyes út. Itt jön képbe a Vaultwarden, egy könnyűsúlyú és optimalizált, Rust nyelven írt verzió, amely teljes mértékben kompatibilis a Bitwarden kliensekkel, de nem igényli az eredeti verzió hatalmas hardvererőforrásait, így tökéletes VPS-en vagy akár Raspberry Pi 4-en való futtatáshoz.

Vaultwarden telepítése és üzembe helyezése

A rendszer összeszereléséhez a legtisztább megoldás a következő használata: Docker és Docker ComposingAz első lépés a webhely rendszerezése egy könyvtár létrehozásával az állandó adatok számára, például a következőben: /opt/vaultwarden/dataRendkívül fontos, hogy az adatok ne törlődjenek a konténer újraindításakor. A biztonság kezelése érdekében ajánlott létrehozni egy adminisztrációs token Argon2 hash használatával (az openssl parancs vagy maga a Vaultwarden rendszerkép használatával) a kulcsok egyszerű szövegként történő tárolásának elkerülése érdekében a konfigurációs fájlokban.

A telepítési fájlban létfontosságú megerősíteni a tartálytNem elég csak elindítani; korlátozni kell a memóriát (kb. 512 MB több mint elég), nem root felhasználóként kell futtatni a folyamatot (például 1000-es UID-val), és a fájlrendszert a következőképpen kell konfigurálni: csak olvashatócsak a szükséges kötetek írhatók. Ahhoz, hogy a szolgáltatás biztonságosan elérhető legyen az interneten keresztül, egy fordított proxy például az Nginx Proxy Manager vagy a Caddy, amely a Let's Encrypt SSL/TLS tanúsítvány kezeléséért felelős.

Átfogó SMTP-konfiguráció

Az e-mail az értesítések és a trezor biztonságának középpontjában áll. Megfelelően konfigurált SMTP-kiszolgáló nélkül nem fog tudni meghívókat küldeni, fiókokat alaphelyzetbe állítani vagy aktiválni a trezort. kétfaktoros hitelesítés (2FA) e-mailben. A konfiguráláshoz el kell érnie az adminisztrációs panelt (/admin) vagy szerkeszd a fájlt .env.

Egy olyan szolgáltatás tipikus paraméterei, mint a Gmail, a host címet is tartalmazzák. smtp.gmail.com, a kikötő 587 STARTTLS-sel vagy a 465-ös portot, ha implicit TLS-t (force_tls) szeretne. Rendkívül fontos az alkalmazás felhasználónevének és jelszavának helyes megadása. Ha ilyen problémába ütközik SMTP hiba 5xx (535)Ez általában azt jelenti, hogy a hitelesítő adatok helytelenek, vagy hogy a szolgáltató (például a Proton Mail vagy a Gmail) egy adott jelszót kér az alkalmazásokhoz, nem pedig a fő fiók jelszavát.

Egy kulcsfontosságú pont az Domain URL, ahol a teljes címet kell megadni (pl. https://vault.tudominio.comHa ez nem egyezik, az e-mailben kapott linkek nem fognak működni. Azok számára, akik professzionálisabb megjelenést szeretnének, vannak spanyolul e-mail sablonok amely klónozható a GitHubról és egy adott kötetre csatolható, így a felhasználók nem kapnak meg mindent angolul.

Fejlett biztonság és megerősítés

Miután neked és a csapatodnak van fiókod, a legésszerűbb dolog, amit tehetsz, az az, hogy nyilvános naplózás letiltása konfigurálás SIGNUPS_ALLOWED=falseÍgy illetéktelen személyek nem tudnak fiókokat létrehozni a szervereden. A nyers erővel történő támadások elleni védelem érdekében erősen ajánlott telepíteni a következőt: Fail2BanMivel Dockert használsz, be kell állítanod a Fail2Ban-t, hogy a láncon működjön. DOCKER-USER az iptables-ből, mivel a szabványos INPUT szabályokat a konténerforgalom gyakran figyelmen kívül hagyja.

Egyéb létfontosságú funkciók közé tartozik a Sürgősségi hozzáférésEz lehetővé teszi, hogy egy megbízható kapcsolattartó egy várakozási idő után visszaszerezze a trezorodat, ha nem válaszolsz. A trezor kezelése szintén elengedhetetlen. rendszergazdai tokenA konfiguráció befejezése után törölheti a változót ADMIN_TOKEN és indítsa újra a konténert, hogy az útvonal /admin 404-es hibát ad vissza, és láthatatlan marad a világ többi része számára.

Karbantartás, biztonsági mentések és helyreállítás

Kényelmes, ha az összes kulcsod egy helyen van, de veszélyes, ha nincsenek biztonsági mentések. Az adatbázisfájl másolása futás közben értelmetlen, mivel ez a fájl sérülését eredményezheti. A helyes megközelítés a következő parancs használata: sqlite3 .backup hogy következetes pillanatképet készítsen db.sqlite3.

Egy megbízható biztonsági mentési tervnek tartalmaznia kell az adatbázist, a mappát és a mellékletek és a fájl .envTovábbi biztonsági réteg hozzáadása érdekében ezek a másolatok titkosíthatók olyan eszközökkel, mint például kormajd az rsync használatával egy távoli szerverre küldi őket. Katasztrófa esetén a visszaállítás magában foglalja a konténer leállítását, az SQLite WAL és SHM ideiglenes fájlok törlését, és az adatbázis cseréjét a korábban visszafejtett titkosított másolattal.

A rendszer naprakészen tartása érdekében kerülje a címke használatát. latest Dockerben, és mindig javíts ki egyet konkrét verzióÍgy, amikor frissíteni szeretnél, elolvashatod a kiadási megjegyzéseket, előzetesen biztonsági mentést készíthetsz, és manuálisan módosíthatod a címkét, megakadályozva, hogy az automatikus frissítés hibát okozzon a konfigurációdban.

A Vaultwarden megvalósítása lehetővé teszi a teljes körű adatvédelem-kezelést, egy SMTP levelezőszerver integrálását a kritikus riasztásokhoz, a hozzáférés védelmét a Fail2Ban segítségével, valamint az adatok megőrzését titkosított és konzisztens biztonsági mentéseken keresztül, mindezt egy fordított proxy alatt, amely garantálja a kommunikáció titkosítását.