Vaultwarden详细部署教程（Docker Compose + HTTPS + 安全加固）

一、环境准备

系统：Ubuntu 20.04+/Debian 11+（推荐）或其他Linux发行版
配置：至少1核CPU、1GB内存、20GB SSD存储
网络：开放80/443端口（用于HTTPS），已解析域名指向服务器IP

# 更新系统
sudo apt update && sudo apt upgrade -y

# 安装Docker
sudo apt install -y docker.io docker-compose

# 启动Docker服务并设置开机自启
sudo systemctl enable –now docker

# 将当前用户添加到docker组（可选，避免每次使用sudo）
sudo usermod -aG docker $USER
newgrp docker

二、部署步骤

mkdir -p /opt/vaultwarden && cd /opt/vaultwarden

version: '3.8'

services:
vaultwarden:
image: vaultwarden/server:latest
container_name: vaultwarden
restart: unless–stopped
volumes:
– ./data:/data # 数据持久化目录
ports:
– "8080:80" # 内部HTTP端口（不直接暴露到公网）
environment:
# 基础配置
– DOMAIN=https://vault.yourdomain.com # 替换为你的域名（必须HTTPS）
– TZ=Asia/Shanghai # 时区设置

# 安全配置
– SIGNUPS_ALLOWED=false # 禁止公开注册（创建管理员后设置为false）
– ADMIN_TOKEN=$(openssl rand –base64 48) # 生成管理员令牌
– SHOW_PASSWORD_HINT=false # 禁用密码提示

# 速率限制（防暴力破解）
– LOGIN_RATELIMIT_MAX_BURST=10 # 最大登录尝试次数
– LOGIN_RATELIMIT_SECONDS=60 # 限制时间窗口（秒）
– ADMIN_RATELIMIT_MAX_BURST=5 # 管理员面板限制
– ADMIN_RATELIMIT_SECONDS=300

# 功能配置
– WEB_VAULT_ENABLED=true # 启用Web界面
– EMERGENCY_ACCESS_ALLOWED=true # 允许紧急访问
– SENDS_ALLOWED=true # 允许安全发送功能

# Caddy反向代理（自动配置HTTPS）
caddy:
image: caddy:2–alpine
container_name: caddy
restart: unless–stopped
ports:
– "80:80" # HTTP（用于Let's Encrypt验证）
– "443:443" # HTTPS
volumes:
– ./Caddyfile:/etc/caddy/Caddyfile:ro
– ./caddy–data:/data/caddy
depends_on:
– vaultwarden

# 替换为你的域名
https://vault.yourdomain.com {
# 日志配置
log {
output file /data/caddy/vaultwarden.log {
roll_size 10MB
roll_keep 10
}
}

# 自动申请SSL证书
tls your@email.com # 替换为你的邮箱（用于证书通知）

# 反向代理到Vaultwarden
reverse_proxy vaultwarden:80 {
header_up X-Real-IP {remote_host}
header_up X-Forwarded-For {remote_host}
header_up X-Forwarded-Proto {scheme}
}
}

# 启动容器（后台运行）
docker-compose up -d

# 查看日志（确认启动正常）
docker-compose logs -f

三、初始化配置

# 仅开放必要端口
sudo ufw allow 22/tcp # SSH
sudo ufw allow 80/tcp # HTTP（Let's Encrypt验证）
sudo ufw allow 443/tcp # HTTPS
sudo ufw enable

# 安装Fail2ban
sudo apt install -y fail2ban

# 创建配置文件
sudo tee /etc/fail2ban/jail.d/vaultwarden.conf <<EOF
[vaultwarden]
enabled = true
filter = vaultwarden
logpath = /opt/vaultwarden/data/vaultwarden.log
maxretry = 5
bantime = 3600 # 封禁1小时
findtime = 300 # 5分钟内触发
EOF

# 创建过滤规则
sudo tee /etc/fail2ban/filter.d/vaultwarden.conf <<EOF
[Definition]
failregex = ^.*Username or password is incorrect\\. Try again\\. IP: <ADDR>.*$
ignoreregex =
EOF

# 重启服务
sudo systemctl restart fail2ban

# 创建更新脚本
cat > /opt/vaultwarden/update.sh <<EOF
#!/bin/bash
cd /opt/vaultwarden
docker-compose pull
docker-compose up -d
echo "Vaultwarden updated at \\$(date)" >> update.log
EOF

# 添加执行权限并设置定时任务
chmod +x update.sh
sudo crontab -e
# 添加：0 3 * * 0 /opt/vaultwarden/update.sh # 每周日凌晨3点更新

五、数据备份与迁移

# 压缩数据目录
tar -czf vaultwarden_backup_$(date +%Y%m%d).tar.gz /opt/vaultwarden/data

# 下载备份到本地（通过SCP）
scp user@server:/opt/vaultwarden/backup.tar.gz ./

cat > /opt/vaultwarden/backup.sh <<EOF
#!/bin/bash
BACKUP_DIR=/opt/backups
mkdir -p \\$BACKUP_DIR
tar -czf \\$BACKUP_DIR/vaultwarden_\\$(date +%Y%m%d).tar.gz /opt/vaultwarden/data
# 保留最近30天备份
find \\$BACKUP_DIR -name "vaultwarden_*.tar.gz" -mtime +30 -delete
EOF

chmod +x backup.sh
sudo crontab -e
# 添加：0 2 * * * /opt/vaultwarden/backup.sh # 每天凌晨2点备份

六、常见问题解决