Mi objetivo
He estado usando KeepassXC durante meses, funciona perfectamente, había hecho un Retex en él. He configurado mi gestor de contraseñas en todos mis ordenadores y smartphone
Tengo un problema con Keepass, que es compartir contraseñas. Algunas contraseñas deben ser compartidas entre mi esposa y yo, esto no es posible con Keepass. Utilizamos una base de datos cada uno porque tenemos dos modos de autenticación para abrir la base de datos.
Así que estoy buscando una solución y Bitwarden la ofrece, podemos crear una "organización" que corresponda a la familia y podemos tener contraseñas específicas para cada una o contraseñas compartidas. Perfecto, eso es lo que estoy buscando.
Así que voy a instalar Vaultwarden en mi Synology NAS en un docker de Container Manager. Configurar un nombre de dominio para esto, darle un certificado para explotar el https, elegir un puerto que no sea 443 para asegurar un poco más. Configurar mi router con redireccionamientos de puertos y luego configurar Vaultwarden, permitirle enviar correos electrónicos y un uso seguro con la autenticación … de Yubikey y Microsoft Athentificator (TOTP).
Estoy instalando el docker Vaultwarden
En Synology Container Manager en mi Synology NAS, voy a Registry download vaultwarden/server
Tomo la "última" versión y la descargo.
Una vez cargado, hago clic en Ejecutar
Cambio algunos parámetros como en la imagen de arriba.
Rápidamente cambio a File Station para agregar una carpeta de bóveda a la carpeta docker.
Si entendí correctamente, usar una carpeta creada en File Station no debería destruir los datos si se elimina el docker, para comprobar …
Configurar los puertos de vaultwarden 3012 y 3013 y su archivo de datos que acabo de crear en File Station
Termino el asistente y luego presiono el botón azul para iniciar la creación del docker.
En la pestaña Contenedor, perfecto, un punto verde indica que se ha lanzado.
Verifico que el firewall del NAS no bloquee el acceso
Para asegurarme de que el firewall de mi NAS (que debería estar activado) no bloquee el puerto 3013, lo permitiré (Seguridad / Firewall / Cambiar reglas)
entonces
Puedo comprobar que vaultwarden comienza en la dirección IP de mi sino y el puerto 3013
No me conviene, quiero poder acceder a él desde el exterior, que la conexión esté en https y que se use un nombre de dominio en lugar de una IP.
Personalizaré mi nombre de dominio
Voy a Acceso Externo / DDNS / Añadir DDNS
Tomo el servicio de Synology, todo lo demás es fácil de completar, marco la casilla para obtener un certificado y activo Heartbeat para ser advertido si hay alguna preocupación.
Crear el conjunto toma unos minutos y aquí está mi acceso DDNS creado:
Compruebo los enrutamiento de puertos de mi router
Voy a mi router, centro de red/transmisión de puertos y redirecciono los puertos a mi NAS
El puerto 1999 será el puerto público https que irá al puerto 1999 del NAS, lo configuro manualmente.
Los puertos 3012 y 3013 se configuran automáticamente y luego el Syno NAS y el Syno Router se comunican entre sí.
Configurar un proxy inverso Synology
En el NAS, voy a Panel de control / Portal de inicio de sesión / Avanzado / Proxy inverso
Me hago cargo del puerto 1999 que es el puerto https (inicialmente 443 por lo tanto) y lo envío todo al puerto 3013 de localhost.
Mi nombre de dominio es vaultwarden.xxxxxxx.familyds.com y por lo tanto Vaultwarden joingnable en https://vaultwarden.xxxxxxx.familyds.com:1999
Es perfecto, la conexión funciona, en https con un nombre de dominio y con un certificado válido.
Activar el servicio Yubikey
Para usar mi Yubikey con VaultWarden, debe activar el servicio y recuperar un ID y una clave en el sitio web de Yubico
Voy a seguir adelante https://upgrade.yubico.com/getapikey/
Simplemente coloque su correo electrónico, haga clic en el cuadro Yubikey OTP, presione el botón Yubiket y luego valide.
Tengo dos piezas de información
Colocaré estas dos piezas de información en variables de entorno.
Configuraré las variables de entorno
Las variables de entorno se configuran en Container Manager, pestaña Containers, detenga el contenedor de bóveda y vaya a Configuración.
Para permitir mi clave Yubikey, agrego estas dos variables:
- YUBICO_CLIENT_ID: Primer campo de recuperación arriba
- YUBICO_SECRET_KEY: El segundo campo se recupera arriba
Para asegurar mi dominio, agrego esta variable, que corresponde a:
Para poder enviar correos electrónicos (más conveniente para enviar invitados y revisar correos electrónicos)
- SMTP_HOST: smtp.free.fr
- SMTP_FROM: la dirección de correo electrónico que enviará los correos electrónicos
- SMTP_PORT: 587
- SMTP_SECURIDAD: starttls
- SMTP_NOMBRE DEL USUARIO: [email protected]
- SMTP_PASSWORD: la contraseña de la cuenta
Creo una primera cuenta "familiar"
Para no dar acceso de administrador a los usuarios, utilizo un correo electrónico «familiar» para crear una primera cuenta y organización.
Esta cuenta tendrá un rol de "propietario".
Añado cuentas de «usuario» con los correos electrónicos de los miembros de la familia, todos podrán validar su correo electrónico y crear su cuenta. El perfil del propietario debe aceptarlos.
Impido la adición de nuevas cuentas
Para hacerlo aún más seguro, bloquearé la adición de nuevas cuentas.
Con este fin, estoy añadiendo una nueva variable de entorno, como en el penúltimo párrafo.
La variable es
- SIGNUPS_ALOWED: falso
Si se agrega una cuenta, se rechazará:
Instalo el complemento del navegador en Brave
Voy a ir y cargar la extensión de mi navegador
Una vez instalado, tengo que configurar el servidor "auto-alojado" que está en mi NAS.
Delante de conexión sobre Tengo que especificar autoalojado.
Especifico la dirección https a mi DNS inverso especificando el puerto.
Luego, lo registro con el correo / contraseña principal de mi cuenta de usuario y encuentro todas mis credenciales.
Asegure la cuenta familiar (propietario) con el Yubikey
Hago clic en Administrar frente a Yubico.
Presiono el marco debajo de Yubikey 1, conecto mi Yubikey, presiono el botón y valido.
Está bien, Yubikey es mi segunda autenticación.
Antes de salir de esta pantalla, genero e imprimo el código de recuperación.
Asegure la cuenta de usuario con Yubikey y Microsoft Authenticator
La cuenta de usuario se registrará en la extensión del navegador, pero también en el teléfono inteligente.
Por ejemplo:
- En el ordenador, abrir la cuenta con la contraseña + el Yubikey será lo más fácil.
- en el teléfono inteligente, la cuenta se puede abrir a través de la contraseña + Yubikey (en NFC) o a través de la contraseña + Microsoft Authenticator (TOTP)
He configurado un acceso seguro a la administración
Vaultwarden ofrece una página de administración, tienes que asegurarla para usarla.
Se puede usar una variable de entorno de texto sin formato, pero no se recomienda.
Es mejor usar un Hash en Argon2, así que usaré el sitio web https://argon2.online/
En este ejemplo, utilizo 3Mssk7Hi4cb“wzUC7fgTR como texto de entrada, hago clic en la rueda de muescas para añadir sal al hash, marco Argon2id y obtengo el resultado “ $argon2id$v=19$m=16,t=2,p=1$c0JJWHVQamhGQzF6MXZudg$vlmd1dpgBVgwU4BM7RUUVw» es lo que colocaré en la variable de entorno del contenedor (véanse algunos párrafos anteriores para una explicación).
- ADMINISTRACIÓN_TOKEN: $argon2id$v=19$m=16,t=2,p=1$c0JJWHVQamhGQzF6MXZudg$vlmd1dpgBVgwU4BM7RUUVw
Accedo a la página de configuración de Vaultwarden
Voy a seguir adelante https://vaultwarden.xxxxx.familyds.com:1999/admin
Puse la contraseña, que es el texto de entrada del hash, así que 3Mssk7Hi4cb“wzUC7fgTR en mi ejemplo.
Camino un poco en la configuración, es un poco de un lado oculto de bóveda, para descubrir.
Organizo una copia de seguridad de los datos de Vaultwarden
Instalo Synology Hyper Backup
En mi NAS, en Packet Center, instalo Hyper Backup.
Abro un Dropbox dedicado con una dirección dedicada
Por lo tanto, estoy aislando estos datos.
Habilito la autenticación dual para acceder a mi nuevo Dropbox.
Inicio Hyper Backup y programo la copia de seguridad
Compruebo Carpetas y paquetes entonces elijo el modo Dropbox
El enlace entre Dropbox y Hyper Backup toma 2 segundos y voy a elegir dónde hacer la copia de seguridad, así que voy a crear una carpeta NAS Backup y un directorio NAS (para mantenerme vago sobre el contenido).
A continuación, elegiré las carpetas para guardar
No estoy interesado en guardar aplicaciones, no verifico nada.
Termino la última pantalla poniendo una contraseña de cifrado del lado del cliente. Descargo y almaceno cuidadosamente la contraseña y el archivo PEM proporcionado.
Al final del asistente, valido el lanzamiento de la primera copia de seguridad
Echaré un vistazo a Dropbox, todo salió bien.
Tengo algo de tiempo antes de rellenar el Dropbox.
Pruebo mi copia de seguridad
Para el registro, una copia de seguridad que no se prueba en la restauración es inútil !!!!!!!!!
Detengo la bóveda del estibador y luego voy a la estación de archivos.
Cambie el nombre de mi archivo docker/vaultwarden a vaultwarden 27-05-2024 y recreo un archivo vaultwarden vacío.
Relanzaré la bóveda del estibador y luego continuaré. https://vaultwarden.xxxxx.familyds.com:1999/admin
en la pestaña Usuarios:
Es perfecto, todo está vacío, así que perdí todos mis datos. vaultwarden restableció y reinyectó sus archivos de datos por defecto:
Obviamente, purgo todo por seguridad y restauraré mi última copia de seguridad, lanzo Hyper Backup.
Se acabó, estoy relanzando el docker y voy a probar …, mis datos están de vuelta, todo está funcionando perfectamente. Perfecto, mi respaldo es viable.
Spanish 
French 
English 
Chinese 
German