分类：开源 标签：自托管、密码管理、Vaultwarden、Docker

面对主流密码管理工具的订阅涨价与功能限制，寻找一个安全、自主可控且经济实惠的替代方案成为了许多科技爱好者的共同诉求。借助家中常年开机的 NAS，搭建一套属于自己的密码管理服务是一个兼顾隐私与成本的优雅解法。本文将分享如何通过 Vaultwarden 后端与 Keyguard 客户端，打造一套高效、体验出色的自托管密码管理体系。

为什么选择 Vaultwarden

在众多密码管理方案中，Bitwarden 凭借开源和多平台支持赢得了不错的口碑，但其官方的自托管后端基于 .NET 构建，资源占用相对较高。而 Vaultwarden 是由社区维护的非官方开源 Bitwarden 后端服务：

  • 极致轻量：镜像小巧，常驻内存通常不过百兆，非常适合个人及小微团队在 NAS 等设备上自建。
  • 功能完备：不仅完美兼容 Bitwarden 生态，还能直接从后端解锁 TOTP 管理、多人共享等官方需要付费的高级功能。

NAS 部署与配置要点

对于拥有成品 NAS 的用户而言，通过 Docker 部署 Vaultwarden 是最省心的方式。在实际操作中，有几个核心参数与步骤需要特别注意：

  1. 镜像与持久化：拉取 vaultwarden/server 的 latest 标签镜像。务必将容器内的 /data 目录映射到 NAS 的实体文件夹，以便后续直接复制该文件夹进行数据备份与迁移。
  2. 网络与端口：避免使用宿主机网络产生冲突，建议采用 bridge 网络，并将容器内的 80 端口映射为 NAS 主机上的自定义端口（如 8808:80）。
  3. 可信环境与域名绑定：现代浏览器的安全上下文策略要求密码管理器必须运行在 HTTPS 环境下。建议在环境变量中配置 DOMAIN 的值为公网连接域名。

HTTPS 与互联网访问解决方案

由于家庭宽带多为大内网，配置传统反向代理获取 SSL/TLS 证书往往需要折腾较多网络参数。如果你希望省时省力，推荐使用 Cloudflare Tunnel (隧道) 功能：

  • 无需公网 IP，即可将内网服务安全地映射出去。
  • 自动搞定 SSL/TLS 证书配置，并附赠免费的 DDoS 防护与访问控制能力。
  • 通过配置固定的二级域名，即可在手机或异地电脑上随时随地安全访问自建的密码库。

权限管理与安全加固

私有服务成功暴露至公网后，安全加固不容忽视：

  • 关闭公开注册：在完成自己的账号注册后，需立即将环境变量 SIGNUPS_ALLOWED 的值设为 false 并重新部署容器，防止陌生人通过扫描注册账号。
  • 管理后台权限：Vaultwarden 的 /admin 管理后台掌控全局，配置完成后建议移除 ADMIN_TOKEN 字段，彻底关闭管理后台访问入口。
  • 开启两步验证：为账号配置 TOTP、通行密钥等 2FA 登录方式，并妥善保管紧急恢复代码。

客户端选择：告别传统痛点

在迁移完几百条密码数据后，客户端的体验直接决定了日常使用的幸福感。

  • 浏览器插件：由于生态原因，目前依然推荐使用 Bitwarden 官方浏览器插件，填入自建的二级域名即可无缝获得自动填充功能。
  • 移动端神器 Keyguard：官方 App 在移动端的体验在面对复杂场景时略显吃力。开源客户端 Keyguard 拥有更出色的 UI 设计与动画效果，支持从其他密码服务中直接迁移通行密钥，并能完美接管 Android 系统的第三方自动填充服务，即使偶尔断网也能稳健调用本地密码库。

总结

自己动手搭建一套密码管理服务，不仅摆脱了商业软件的订阅束缚，更能实现数据资产的绝对掌控。从容器部署、内网穿透到客户端调优，整个链路跑通后不仅收获了极大的掌控感，也为后续搭建其他私有云服务积累了宝贵的技术经验。