自建 Vaultwarden 只关注册就够了吗？这几层安全加固必须安排上

最近几年，大家对数据隐私的重视程度直线上升，很多技术爱好者都选择自己搭建密码管理器，而 Vaultwarden 凭借轻量、兼容 Bitwarden 客户端的特性，几乎成了首选方案。

我在翻看社区讨论时，发现不少朋友觉得“只要关闭了公开注册，我的服务就安全了”。确实，关闭公开注册是第一步，它能防止被恶意注册占用资源，但这就像你装了一扇防盗门，却忘了关窗户一样，远远不够。

今天我们就来聊聊，除了关闭注册，为了保护这个存着我们所有“身家性命”的服务，我们还应该做哪些更深层次的防护。

一、隐藏身形：不要让全网都知道你的服务

使用 Cloudflare 等 CDN 服务隐藏源站 IP，防止攻击者直接扫描服务器

很多部署教程默认会让你用 80 或 443 端口直接映射到公网，这其实是大忌。攻击者的扫描器 24 小时都在全网扫，一旦识别出 Bitwarden 的特征，就会对你进行定向爆破。

建议做法：

1. 更换非标准端口：虽然“隐式”安全不是真正的安全，但改个高位端口能避开绝大多数自动化脚本的无差别扫描。
2. CDN 隐藏源站 IP：建议使用 Cloudflare 等 CDN 服务，开启“小云朵”代理。这样对方只能看到 CF 的 IP，根本扫描不到你的源站服务器。
3. 限制访问地区：在 CDN 层面设置 WAF 规则，只允许你常驻的国家或地区访问，其他地方直接拦截，能阻挡大部分海外扫段流量。

二、层层设防：WAF 与反向代理的联动

如果你的服务直接暴露在公网，必须给它穿上一层“盔甲”。Nginx 或 Caddy 虽然好用，但在应对攻击时功能有限。

建议做法：

1. 集成 WAF 模块：如果你用的是 Nginx，推荐配合 ModSecurity 或 Naxsi，加载针对 SQL 注入、XSS 的规则集。对于 Vaultwarden，主要是防止 API 接口被滥用。
2. 启用 Fail2Ban： Vaultwarden 本身日志比较详细，配合 Fail2Ban 可以实时分析日志。一旦检测到某个 IP 在一分钟内尝试了几十次密码，直接在防火墙层面封禁它，永绝后患。

三、针对账号的防御：弱口令与暴力破解

即使只有你自己使用，也不能掉以轻心。如果主账号密码不够强，或者开启了 TOTP（两步验证）后被社工库撞库，后果不堪设想。

建议做法：

1. 强制 2FA（两步验证）：Vaultwarden 后台其实有一个配置项可以强制要求所有用户开启两步验证。务必开启它！这是防止密码泄露后被拿下的最后一道防线。
2. 邮件通知预警：配置好 SMTP 服务。任何新设备登录、主密码修改，都应该第一时间发邮件通知你。如果收到陌生邮件，说明账号已经被盯上了，得立刻改密码。
3. 定期备份数据：这是老生常谈，但最重要。开启 sqlite 数据库的自动备份，或者定时用 rsync 推送到异地。如果真的发生意外，数据是你回本的唯一希望。

四、保持更新与审计

很多自建服务挂掉的原因，不是配置有问题，而是几年不更新，最终被某个 0day 漏洞一锅端。

建议做法：

1. 开启自动更新：利用 Watchtower 或者系统级定时任务，定期拉取最新的 Vaultwarden 镜像。官方修复高危漏洞的速度很快，跟上节奏就行。
2. 日志审计：偶尔抽空看看服务器的 auth.log 或者 Vaultwarden 的运行日志。如果发现大量来自某个 IP 段的 404 或者 401 请求，说明有人在试探你的防御底线，直接在防火墙拉黑该网段。

写在最后

安全从来不是一劳永逸的事情，而是一个持续对抗的过程。关闭公开注册只是自建密码管理的入门券，真正的安全考验在于你对细节的把控。

不论是隐藏 IP、配置 WAF，还是强制开启 2FA，每一层加固都是为了让攻击者的成本高到放弃。你现在的自建环境，都做到了哪几步呢？