分享一个Vaultwarden自动备份方案

阿银

2小时前发布7次阅读

Bitwarden是比较流行的开源密码管理软件，万事屋之前发过使用Docker 安装 Vaultwarden的教程。

Vaultwarden是轻量级非官方服务端版本，通常自建服务器都采用这个版本。优势是比官方轻量很多，同时无需付费就可以使用TOTP功能。

自建Vaultwarden后马上面临如何备份问题。虽然Bitwarden密码都是本地保存，只要经常同步即使服务器端失效也不会导致所有密码丢失。但是如果长期使用，考虑到任何服务器和数据都有损毁风险，需要有一个恢复手段。

我采用的是rclone本地挂接onedrive网盘，然后配置自动备份脚本备份到网盘。具体方案如下。

1. 挂载网盘

通过rclone config命令配置onedrive并进行本地挂载。

rclone mount onedrive:/backup/ /mnt/onedrive --allow-non-empty --vfs-cache-mode full --daemon

配置自启动挂载

创建桌面文件

nano ~/.config/autostart/rclone-onedrive.desktop

编辑内容

[Desktop Entry]
Type=Application
Name=Mount OneDrive with rclone
Exec=rclone mount onedrive:/backup/ /mnt/onedrive --allow-non-empty --vfs-cache-mode full --daemon writes &
Terminal=false
Hidden=false

2. 编写自动备份脚本

我最开始是用专业的restic进行备份。但发现会自动创建上百个子目录，很影响网盘性能，而且备份文件查看也不直观。于是改回用最简单的tar打包备份。考虑到备份到公网网盘，虽然数据库文件有主密码加密，依然有被暴力破解风险，于是增加了打包加密，采用GPG加密。

Vaultwarden的核心是sqlite数据库，为了保证数据一致性，我采用sqlite3先热备数据库，然后打包。另外需要备份用于加解密的rsa_key.pem，因为不常变化，采用手工备份，不纳入自动备份计划。密码附件文件保存在/vw-data/attachments目录，如果用到也需要纳入备份计划。

备份计划每天一个日备份，保存在daily目录，保留30份，循环覆写。每个月一个月备份，保存在monthly目录，保留12份，循环覆写。

脚本文件如下：

#!/bin/bash

# 定义路径
DATA_DIR="/vw-data"
BACKUP_DIR="/mnt/onedrive"
DAILY_BACKUP_DIR="${BACKUP_DIR}/daily"
MONTHLY_BACKUP_DIR="${BACKUP_DIR}/monthly"
WORK_DIR="${BACKUP_DIR}/work"
DATE=$(date +%Y%m%d)
DAILY_BACKUP_RETENTION=30
MONTHLY_BACKUP_RETENTION=12

# 定义加密密码
GPG_PASSPHRASE="your_secret_passphrase_here"  # 你的加密密码

# 确保目标目录存在
mkdir -p "$DAILY_BACKUP_DIR" "$MONTHLY_BACKUP_DIR" "$WORK_DIR"

# Step 1: 执行SQLite3热备份
sqlite3 "${DATA_DIR}/db.sqlite3" ".backup '${WORK_DIR}/db_${DATE}.sqlite3'"

# Step 2: 打包备份文件
tar -czf "${WORK_DIR}/backup_${DATE}.tar.gz" -C "${WORK_DIR}" "db_${DATE}.sqlite3"

# Step 3: 加密备份文件
echo "$GPG_PASSPHRASE" | gpg --batch --yes --passphrase-fd 0 --symmetric --cipher-algo AES256 --output "${DAILY_BACKUP_DIR}/backup_${DATE}.tar.gz.gpg" "${WORK_DIR}/backup_${DATE}.tar.gz"

# Step 4: 删除临时文件
rm "${WORK_DIR}/db_${DATE}.sqlite3" "${WORK_DIR}/backup_${DATE}.tar.gz"

# Step 5: 每月备份逻辑（每月第一天执行）
if [ "$(date +%d)" -eq 1 ]; then
  cp "${DAILY_BACKUP_DIR}/backup_${DATE}.tar.gz.gpg" "${MONTHLY_BACKUP_DIR}/"
fi

# Step 6: 保留最近的30份每日备份
cd "${DAILY_BACKUP_DIR}"
ls -tp | grep -v '/$' | tail -n +$((${DAILY_BACKUP_RETENTION}+1)) | xargs -I {} rm -- {}

# Step 7: 保留最近12个月的备份
cd "${MONTHLY_BACKUP_DIR}"
ls -tp | grep -v '/$' | tail -n +$((${MONTHLY_BACKUP_RETENTION}+1)) | xargs -I {} rm -- {}

修改备份脚本权限。因为包含加密密钥，需要取消其他用户及组任何权限，同时保证当前用户有执行权限。