Knowledge WiKibase

Эта страница только для чтения. Вы можете посмотреть её исходный текст, но не можете его изменить. Сообщите администратору, если считаете, что это неправильно.
{{htmlmetatags>metatag-keywords=(Bitwarden,Vaultwarden,Raspberry Pi OS,nginx,Raspberry Pi 4 Model B,PasswordSafe,pwSafe for iphone,self-hosted,self-hosting,Open Source,certbot,snap,MikroTik,Lets Encrypt) 
metatag-description=(Неофициальный сервер менеджера паролей Bitwarden.)}}

====== Установка Vaultwarden на Raspberry Pi OS с nginx ======

Уже лет как пять я периодически подумывал об обновлении стратегии хранения личных, корпоративных и паролей клиентов, а так же их передачи. До сегодняшнего дня, много-много лет, я использовал классический [[https://pwsafe.org/|PasswordSafe]] на компьютерах и, с 2017, [[https://apps.apple.com/us/app/pwsafe-2-password-safe-compatible/id938922963|pwSafe]] на iPhone с синхронизацией криптоконтейнеров через iCloud. Но доступность этого решения оставляет желать... желать и желать, увы!

Сейчас же, существует огромное количество решений, доступность которых находится совершенно на другом уровне! Но с увеличением доступности, падает надежность -- особенно меня всегда смущало расположение базы данных неизвестно где и у кого! Еще более в этом месте волнует полнейшее отсутствие гарантий, что завтра этот сервис будет все так же онлайн... причем по самому огромному спектру причин, зачастую даже не зависящих от воли владельцев сервиса!

Но сравнительно недавно у меня посвился Raspberry Pi 4 Model B и тут возможности заиграли новыми красками!

===== Требования =====

  - Freeware, Open Source и Self-hosted;
  - наличие клиентов iPhone, Windows и Web;
  - возможность корпоративного использования.

===== Муки выбора =====

Мук, как таковых, на самом деле и не было -- пробежался по интерфейсам Open Source систем, имеющих self-hosted решения, выбрал, что больше нравится и соответствует моим требованиям, погуглил немного отзывы и историю, в итоге остановился на [[https://bitwarden.com/|Bitwarden'e]]. Далее осталось выбрать реализацию сервиса.

{{:raspberry_pi:pi_4_model_b:raspberry_pi_os:vaultwarden.png?nolink|Vaultwarden}}

Но и тут особых сложностей не возникло -- по сути, [[https://github.com/dani-garcia/vaultwarden|Vaultwarden]] ничем не отличается от официального сервера(([[https://github.com/dani-garcia/vaultwarden/wiki#missing-features|Вот короткий список]] того, что не реализовано и, вероятно, никогда не будет реализовано.)), кроме того, что он более "легкий" и имеет на борту разблокированные платные, а тут бесплатные, функции. Выбор очевиден((Да, тут могут быть проблемы с аудитом кода, но... понадеемся на паникеров от сообщества с открытым исходным кодом, которые вовремя поднимут тревогу!))! 8-)

==== Возможности ====

В итоге я получил:

  - легкий онлайн менеджер паролей, физически расположенный на полностью подконтрольном мне сервере,
  - с клиентами под все платформы((Причем некоторые работают в режиме кэшировая, т.е. при отсутствии доступа к серверу, доступ к данным остается.)), включая плагины для популярных браузеров,
  - и возможностью создания организаций с предоставлением настраиваемого доступа к ним.

===== Система =====

//Все манипуляции проводятся на 64-битной Raspberry Pi OS 11 (bullseye)://

  * //Vaultwarden 1.28.1;//
  * //Docker 23.0.5;//
  * //nginx 1.18.0;//
  * //snap 2.58.2;//
  * //certbot 2.5.0.//

Для удобства авторизовываемся под суперпользователем

<code>sudo -s</code>

==== Docker ====

  - добавляем сертификат репозитория((Это адаптация [[https://docs.docker.com/engine/install/debian/|официальной инструкции]].))\\ \\ <code>curl -fsSL https://download.docker.com/linux/debian/gpg | sudo gpg --dearmor -o /etc/apt/trusted.gpg.d/docker.gpg</code>
  - добавляем репозиторий\\ \\ <code>echo "deb [arch="$(dpkg --print-architecture)" signed-by=/etc/apt/trusted.gpg.d/docker.gpg] https://download.docker.com/linux/debian "$(. /etc/os-release && echo "$VERSION_CODENAME")" stable" | tee /etc/apt/sources.list.d/docker.list > /dev/null</code>
  - обновляем списки пакетов и систему\\ \\ <code>apt update && apt upgrade</code>
  - устанавливаем зависимости\\ \\ <code>apt install ca-certificates curl gnupg</code>
  - устанавливаем пакеты Docker\\ \\ <code>apt install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin</code>

=== Ошибка ===

В моем случае, во время конфигурирования пакета "docker-ce" появилась ошибка запуска службы "**<nowiki>invoke-rc.d: initscript docker, action "start" failed. (code=exited, status=1/FAILURE)</nowiki>**", а ''journalctl -xe'' ни сказал вообще ничего интересного кроме "**Failed to start Docker Application Container Engine**".

А вот при попытке запуска демона ''dockerd'' напрямую уже появилось что-то интересное:

<code>ERRO[2023-04-28T20:59:30.882570089+10:00] failed to mount overlay: no such device       storage-driver=overlay2
ERRO[2023-04-28T20:59:30.882760347+10:00] exec: "fuse-overlayfs": executable file not found in $PATH  storage-driver=fuse-overlayfs
WARN[2023-04-28T20:59:30.896634105+10:00] Running modprobe bridge br_netfilter failed with message: modprobe: WARNING: Module bridge not found in directory /lib/modules/6.1.19-v8+
modprobe: WARNING: Module br_netfilter not found in directory /lib/modules/6.1.19-v8+, error: exit status 1</code>

Немного погуглив, выполнил ''rpi-update''(([[https://www.raspberrypi.com/documentation/computers/os.html#rpi-update|Читайте официальное предупреждение]] касательно использования этой команды!)) и ''reboot'', что однозначно помогло, но не совсем -- служба начала запускаться, но при попытке загрузить контейнер стала появляться ошибка "**<nowiki>Cannot connect to the Docker daemon at unix:///var/run/docker.sock. Is the docker daemon running?</nowiki>**"... при том, что docker daemon is running!

Решил попробовать откатиться к стабильным версиям

<code>sudo apt install --reinstall libraspberrypi0 libraspberrypi-{bin,dev,doc} raspberrypi-bootloader raspberrypi-kernel</code>

что помогло уже окончательно!

После всех манипуляций, для окончательной установки пакета, нужно выполнить

<code>sudo apt install docker-ce</code>

==== Vaultwarden ====

  - Загружаем контейнер\\ \\ <code>docker pull vaultwarden/server:latest</code>
  - придумываем или генерируем ключ аутентификации для админ-панели\\ \\ <code>openssl rand -base64 48</code>
  - генерируем хэш ключа Argon2id(([[https://github.com/dani-garcia/vaultwarden/wiki/Enabling-admin-page#secure-the-admin_token|Подробнее]] в официальной документации.))\\ \\ <code>docker run --rm -it vaultwarden/server /vaultwarden hash</code>
  - и запускаем контейнер с указанием всех необходимых параметров\\ \\ <code>docker run -d -e ADMIN_TOKEN='$argon2id$v=XX$m=XXXXX,t=X,p=X$HASH' -e TZ='Asia/Vladivostok' -e WEBSOCKET_ENABLED=true --restart unless-stopped --name vaultwarden -v /opt/vaultwarden/:/data/ -p 127.0.0.1:8080:80 -p 127.0.0.1:3012:3012 vaultwarden/server:latest</code>
    * "<nowiki>-e ADMIN_TOKEN</nowiki>" -- переменная окружения с ключом аутентификации для административного раздела((Может быть указан в прямом виде или в виде хэша, сгенерированного выше.));
    * "<nowiki>-e TZ</nowiki>" -- указание часового пояса сервера в формате "Регион/Город", к примеру, "Asia/Vladivostok";
    * "<nowiki>-e WEBSOCKET_ENABLED</nowiki>" -- включение уведомлений web-сокета(([[https://github.com/dani-garcia/vaultwarden/wiki/Enabling-WebSocket-notifications|Подробнее]], если надо.));
    * "<nowiki>--restart unless-stopped</nowiki>" -- автозапуск контейнера при перезагрузке и прочих ситуациях(([[https://www.reg.ru/qa/t/kak-avtomaticheski-zapuskat-kontejnery-docker-posle-perezagruzki/108|Подробнее]].));
    * "<nowiki>-v /opt/vaultwarden/:/data/</nowiki>" -- назначение расположения каталога с данными вне контейнера((До двоеточия, это путь в системе, а после -- в контейнере.));
    * "<nowiki>-p 127.0.0.1:8080:80</nowiki>" и "<nowiki>-p 127.0.0.1:3012:3012</nowiki>" -- привязка интерфейса и порта web-сервера и web-сокета((В целях безопасности лучше использовать только локальный интерфейс, но, в принципе, ip-адрес можно вообще не указывать, ограничившись сопоставлением портов.)).

===== Внешний доступ =====

Для дальнейшей настройки, необходим "белый" IP-адрес и общедоступный домен. Для примера, ниже будут использоваться следующие условности:

  * внешний домен -- "vw.example.zone";
  * белый IP-адрес -- AAA.AAA.AAA.AAA;
  * внешний порт web-сервера -- 7684((Чем он менее интуитивен, тем лучше.));
  * IP-адрес сервера -- XXX.XXX.XXX.XXX.

Ну и, соответственно, доступ к маршрутизатору, обладающему этим IP.

==== nginx ====

Т.к. nginx у меня уже установлен и обслуживает [[raspberry_pi:pi_4_model_b:raspberry_pi_os:librenms:installation|систему мониторинга LibreNMS]], мне нужно исправить конфигурацию последней, для возможности использования ее в получении сертификата Let's Encrypt, и добавить отдельную конфигурацию для Vaultwarden.

LibreNMS висит на 80-м порту и должен быть доступен только внутри сети, поэтому:

  - открываем конфигурацию\\ \\ <code>nano /etc/nginx/sites-enabled/librenms.vhost</code>
  - и в начале, после директивы "listen", вставляем общее ограничение на доступ\\ \\ <code>allow XXX.XXX.XXX.0/24;
deny all;</code>
  - а в конце, перед закрывающим тегом "}" секции "server", добавляем настройку\\ \\ <code>location /.well-known/acme-challenge {
       allow all;
       alias /tmp/vaultwarden/ssl/;
}</code>
  - создаем соответствующую папку\\ \\ <code>mkdir -p /tmp/vaultwarden/ssl/</code>
  - открываем временную конфигурацию Vaultwarden\\ \\ <code>nano /etc/nginx/sites-enabled/vaultwarden.vhost</code>
  - и добавляем в нее((Порт не важен, главное, чтобы он был свободен.))\\ \\ <code>server {
       listen 8081;
       server_name vw.example.zone;
}</code>
  - перечитываем конфигурацию nginx\\ \\ <code>systemctl reload nginx</code>

==== MikroTik ====

Конфигурация маршрутизатора сводится к публикации портов 80/7684((3012 публиковать не надо!)) и, если необходимо, настройке [[https://blog.mark99.ru/pravilnyj-nat-loopback-hairpin-nat-v-mikrotik/|NAT Loopback]].

<file rsc vaultwarden.rsc># Server Publishing
/ip firewall nat
add action=netmap chain=dstnat comment="Publishing .well-known and Vaultwarden" dst-address=AAA.AAA.AAA.AAA dst-port=80,7684 protocol=tcp to-addresses=XXX.XXX.XXX.XXX
/ip firewall filter
add action=accept chain=forward comment="Accept .well-known and Vaultwarden" dst-address=XXX.XXX.XXX.XXX dst-port=80,7684 in-interface=Internet-1 protocol=tcp

# NAT Loopback
/ip firewall mangle
add action=mark-packet chain=prerouting comment="Mark Vaultwarden packets from LAN" connection-state=new dst-address=AAA.AAA.AAA.AAA in-interface-list=LAN new-packet-mark=nat-loopback passthrough=yes
/ip firewall nat
add action=masquerade chain=srcnat comment="Masquerade Vaultwarden from LAN" packet-mark=nat-loopback</file>

===== Сертификат =====

==== snap ====

  - Устанавливаем(([[https://snapcraft.io/docs/installing-snap-on-raspbian|Официальная инструкция]].)) демона snap и перезагружаемся\\ \\ <code>apt install snapd && reboot</code>
  - авторизовываемся под суперпользователем\\ \\ <code>sudo -s</code>
  - устанавливаем основные компоненты\\ \\ <code>snap install core</code>
    * если они уже стояли, то обновляем\\ \\ <code>snap refresh core</code>

==== certbot ====

  - Проверяем((Официальная [[https://certbot.eff.org/instructions?ws=nginx&os=debianbuster|инструкция]].)), чтобы certbot **не был** установлен с помощью apt\\ \\ <code>apt remove certbot</code>
  - устанавливаем из репозитория snap\\ \\ <code>snap install --classic certbot && ln -s /snap/bin/certbot /usr/bin/certbot</code>
  - получаем сертификат\\ \\ <code>certbot -d vw.example.zone --nginx</code>//Что странно, больше ничего не потребовалось... сертификаты без лишних вопросов сохранил сюда "/etc/letsencrypt/live/vw.example.zone/"... и добавил в конфиг "/etc/nginx/sites-enabled/vaultwarden.vhost" нужные строки.//
  - проверяем перевыпуск сертификата в симуляции\\ \\ <code>certbot renew --dry-run</code>

===== Конфигурация =====

Осталось добавить полноценную конфигурацию обратного прокси:

  - открываем\\ \\ <code>nano /etc/nginx/sites-enabled/vaultwarden.vhost</code>
  - копируем директивы "ssl_certificate", "ssl_certificate_key", "include" и "ssl_dhparam", добавленные certbot
  - добавляем и исправляем рекомендованную конфигурацию((Пример от blackdex в [[https://github.com/dani-garcia/vaultwarden/wiki/Proxy-examples|официальной документации]].))\\ \\ <file bash vaultwarden.vhost># The `upstream` directives ensure that you have a http/1.1 connection
# This enables the keepalive option and better performance
#
# Define the server IP and ports here.
upstream vaultwarden-default {
  zone vaultwarden-default 64k;
  server 127.0.0.1:8080;
  keepalive 2;
}
upstream vaultwarden-ws {
  zone vaultwarden-ws 64k;
  server 127.0.0.1:3012;
  keepalive 2;
}

# Redirect HTTP to HTTPS #1
#server {
#    listen 80;
#    listen [::]:80;
#    server_name vaultwarden.example.tld;
#    return 301 https://$host$request_uri;
#}

server {
    listen 7684 ssl http2;
#   listen [::]:443 ssl http2; #2
    server_name vw.example.zone;

    # Specify SSL Config when needed #3
    ssl_certificate /etc/letsencrypt/live/vw.example.zone/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/vw.example.zone/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

    client_max_body_size 128M;

    location / {
      proxy_http_version 1.1;
      proxy_set_header "Connection" "";

      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Proto $scheme;

      proxy_pass http://vaultwarden-default;
    }

    location /notifications/hub/negotiate {
      proxy_http_version 1.1;
      proxy_set_header "Connection" "";

      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Proto $scheme;

      proxy_pass http://vaultwarden-default;
    }

    location /notifications/hub {
      proxy_http_version 1.1;
      proxy_set_header Upgrade $http_upgrade;
      proxy_set_header Connection "upgrade";

      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header Forwarded $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Proto $scheme;

      proxy_pass http://vaultwarden-ws;
    }

    # Optionally add extra authentication besides the ADMIN_TOKEN
    # Remove the comments below `#` and create the htpasswd_file to have it active
    #
    #location /admin {
    #  # See: https://docs.nginx.com/nginx/admin-guide/security-controls/configuring-http-basic-authentication/
    #  auth_basic "Private";
    #  auth_basic_user_file /path/to/htpasswd_file;
    #
    #  proxy_http_version 1.1;
    #  proxy_set_header "Connection" "";
    #
    #  proxy_set_header Host $host;
    #  proxy_set_header X-Real-IP $remote_addr;
    #  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    #  proxy_set_header X-Forwarded-Proto $scheme;
    #
    #  proxy_pass http://vaultwarden-default;
    #}
}</file>Пояснения к изменениям в конфигурации по умолчанию:
    * отключаем (#1) публикацию по протоколу HTTP и, соответственно, перенаправление на HTTPS;
    * отключаем (#2) привязку IPv6;
    * добавляем (#3) пути к сертификатам, скопированные ранее.\\ \\ 
  - перечитываем конфигурацию\\ \\ <code>systemctl reload nginx</code>
  - профит!

===== Настройка =====

Админ-панель доступна по адресу "<nowiki>https://vw.example.zone:7684/admin</nowiki>".

Из важного, в ней необходимо установить параметр "General settings" -> "Domain URL"(([[https://github.com/dani-garcia/vaultwarden/wiki/Configuration-overview#setting-the-domain-url|Официальная документация]].)), который должен соответствовать установленным выше параметрам. В данном контексте должно быть так -- "<nowiki>https://vw.example.zone:7684</nowiki>".

Остальные параметры сугубо на свое усмотрение.

Разве что, после всех настроек, желательно отключить регистрацию в "General settings" -> "Allow new signups" и полностью отключить админ-панель:

  - удаляем контейнер((Это безопасно! Данные останутся на месте!))\\ \\ <code>docker stop vaultwarden && docker rm vaultwarden</code>
  - открываем конфигурацию\\ \\ <code>nano /opt/vaultwarden/config.json</code>и удаляем из нее строку "admin_token"
  - регистрируем контейнер заново **без переменной** окружения «<nowiki>-e ADMIN_TOKEN</nowiki>»\\ \\ <code>docker run -d -e TZ='Asia/Vladivostok' -e WEBSOCKET_ENABLED=true --restart unless-stopped --name vaultwarden -v /opt/vaultwarden/:/data/ -p 127.0.0.1:8080:80 -p 127.0.0.1:3012:3012 vaultwarden/server:latest</code>

===== Обновление =====

Обновление, в моем случае, с версии 1.28.1 до 1.30.1 простейшее и описано ниже, но!

:!: //В этой версии служба web-сокета на отдельном порту [[https://github.com/dani-garcia/vaultwarden/releases/tag/1.30.1|оставлена только в режиме совместимости]], т.е. она не будет обновляться, и в ближайшем будущем будет вообще удалена! **Поэтому обновление на более свежую версию, вероятно, уже потребует изменения [[https://github.com/dani-garcia/vaultwarden/wiki/Proxy-examples|конфигурации обратного прокси]].**//

  - Авторизуемся под суперпользователем\\ \\ <code>sudo -s</code>
  - загружаем новый образ\\ \\ <code>docker pull vaultwarden/server:latest</code>
  - останавливаем и удаляем старый контейнер\\ \\ <code>docker stop vaultwarden & docker rm vaultwarden</code>
  - настраиваем и запускаем новый\\ \\ <code>docker run -d -e TZ='Asia/Vladivostok' -e WEBSOCKET_ENABLED=true --restart unless-stopped --name vaultwarden -v /opt/vaultwarden/:/data/ -p 127.0.0.1:8080:80 -p 127.0.0.1:3012:3012 vaultwarden/server:latest</code>

На этом, собственно, все.

  * Очистить Docker от накопившегося хлама, выполнив команду\\ \\ <code>docker system prune -a</code>но надо быть осторожным, т.к. **не** удаляет она только запущенные контейнеры и соответствующие им образы!
  * Узнать текущую версию сервера можно, выполнив команду\\ \\ <code>sudo docker logs vaultwarden | grep "Version" -m 1</code>

===== Резервное копирование =====

Для резервного копирования можно использовать [[raspberry_pi:pi_4_model_b:raspberry_pi_os:bash:scripts:backup|этот скрипт]] с такой конфигурацией((Подробнее в [[https://github.com/dani-garcia/vaultwarden/wiki/Backing-up-your-vault|официальной документации]].)):

<file text files.txt>/etc/nginx/sites-enabled/vaultwarden.vhost
/opt/vaultwarden/</file>

<file text sqlitedbs.txt>/opt/vaultwarden/db.sqlite3</file>
Knowledge WiKibase

Инструменты пользователя

Инструменты сайта

Инструменты страницы
