自建Vaultwarden密码管理虽好，但这道“保险套”必须得戴！

最近圈内很多朋友都在折腾自建密码管理器，尤其是轻量级的 Vaultwarden，确实比官方的 Bitwarden 服务器省心省资源。数据掌握在自己手里，这种感觉让人很踏实。

但是，很多小伙伴在把服务搭起来后，直接把端口丢在公网上，或者简单套个域名就完事了。殊不知，这简直就像是在“裸奔”。密码管理器存储的是我们最核心的数字资产，一旦这里出了问题，那后果是灾难性的。

今天就来聊聊，为什么必须给自建服务套上一层“保险套”，以及具体该怎么操作。

为什么要“套保险套”？

黑客利用自动化脚本扫描端口并尝试暴力破解

这里的“保险套”，指的就是反向代理、访问控制层以及防护策略。

即使 Vaultwarden 本身代码质量不错，但只要它暴露在公网上，就会面临两大主要威胁：

1. 撞库与暴力破解：黑客会利用自动化脚本，满世界扫描默认端口（如 80, 443, 或者你常用的 8080），然后尝试用弱密码或者泄露的账号列表去撞你的登录口。虽然主密码是你自己设的，但频繁的尝试不仅消耗服务器资源，还可能造成心理压力。
2. 0day 漏洞风险：没有任何软件是完美的。如果哪天 Vaultwarden 或者底层的 Web 框架爆出个远程执行漏洞，直接暴露在公网的服务器就是第一批受害者。

所以，我们的目标是：让真实的 Vaultwarden 服务躲在幕后，只允许经过“安检”的流量访问。

实战方案：构建你的防御层

要实现这个目标，通常建议的双重保险是：Nginx/Caddy 反向代理 + Cloudflare CDN 及防火墙。

使用 Cloudflare CDN 隐藏真实服务器 IP 并过滤攻击

第一步：隐藏源站 IP，使用 Cloudflare

这是最重要的一步。千万不要直接把服务器的 A 记录解析到你的 VPS IP。

1. 去一家 CDN 提供商（推荐 Cloudflare，免费版功能就够用了）添加你的域名。
2. 把域名的 DNS 托管过去，开启“云朵”图标（代理状态）。
3. 这样，外部用户访问你的域名时，流量先经过 CDN 的边缘节点，只有 CDN 知道你的真实服务器 IP。你可以通过防火墙规则，只允许 Cloudflare 的 IP 段访问你的 VPS 80/443 端口，直接封掉其他所有入站流量。

这一步就能屏蔽掉绝大多数针对源站的直接扫描和 DDoS 攻击。

第二步：配置 Nginx 反向代理与基础防护

在你的 VPS 上安装 Nginx，配置一个反向代理到 Vaultwarden 的默认端口（通常是 http://127.0.0.1:80 或 Docker 容器内的端口）。

除了基本的 proxy_pass，你还需要在 Nginx 配置里加点“佐料”来增加安全性：

• 屏蔽不必要的访问：

  # 禁止访问隐藏文件（如 .git, .env）
  location ~ /\. {
      deny all;
  }
  

• 限制请求大小：防止缓冲区溢出攻击。

  client_max_body_size 10M;
  

• 添加安全头：

  add_header X-Frame-Options "SAMEORIGIN";
  add_header X-Content-Type-Options "nosniff";
  add_header X-XSS-Protection "1; mode=block";
  add_header Referrer-Policy "strict-origin-when-cross-origin";
  

第三步：应用层的“守门员”

仅仅隐藏 IP 还不够，我们还可以在 Nginx 层面加一道“门禁”。这里有两种常见的思路：

1. 使用 Cloudflare 的“WAF”规则： 在 Cloudflare 的面板里，你可以配置防火墙规则。比如，设置“如果路径包含 /admin 且访问频率每分钟超过 10 次，则挑战验证码”。这能有效拦截脚本扫描。

2. 更激进的方案：Basic Auth 或 OAuth2： 你可以在 Nginx 中开启基本的 HTTP 认证（auth_basic），或者利用 oauth2-proxy 之类的工具，在访问 Vaultwarden 之前，先强制要求登录一次 Google/GitHub 账号。

注意：Vaultwarden 的客户端可能不支持这种双重认证，所以这个方案主要适用于保护 Web 端访问，或者是你在特定的管理后台路径上使用。 对于主登录页面，推荐使用 Fail2ban 配合 Nginx 日志，自动封禁那些尝试暴力破解的 IP。

总结

自建服务就像是自己在家里囤金子，Vaultwarden 是那个保险箱，但如果你把保险箱放在大门口且不设防，贼自然会惦记。

通过 隐藏源站 IP + 反向代理过滤 + 访问控制 这一套组合拳，我们实际上给服务穿上了一层厚厚的“保险套”。哪怕后面服务出个什么小漏洞，外面还有好几道关卡守着，安全性是指数级提升。

如果你正在自建或者准备自建，千万别为了省事跳过这几步。安全无小事，尤其是在密码管理这件事上。