保姆级教程：用Vaultwarden和mkcert在群晖NAS上搭建安全的Bitwarden密码库（解决HTTPS和插件登录）
私有密码库实战：在群晖NAS上部署Vaultwarden全指南
当数字身份成为现代生活的通行证，密码管理便从可选变成了刚需。市面上主流密码管理器虽然方便，但将全部密钥交给第三方服务总让人心存疑虑——直到发现Vaultwarden这个开源自托管方案。作为Bitwarden官方服务器的轻量级替代品，它用Rust语言重写后资源占用降低90%，却完整保留了跨设备同步、安全分享等核心功能。更重要的是，所有数据都牢牢掌握在你自己的NAS设备中。
本教程专为群晖用户设计，将手把手带你绕过自签名证书的信任陷阱，解决浏览器插件的兼容性难题，最终构建出内外网皆可安全访问的私有密码库。不同于网上零散的解决方案，我们整合了证书管理、服务配置、客户端适配的全流程，确保每个环节都能开箱即用。即便你从未接触过Docker或HTTPS配置，也能在两小时内完成部署。
1. 为什么选择Vaultwarden而非官方版？
在自建密码管理器的世界里，Vaultwarden（原Bitwarden_rs）早已成为技术爱好者们的默认选择。这个用Rust实现的开源项目最初只是官方服务器的一个兼容层，如今却青出于蓝。实测显示，在树莓派4上运行Vaultwarden仅需28MB内存，而官方服务器至少要500MB起步。对于家庭NAS用户而言，这种资源效率意味着可以7×24小时运行而不影响其他服务。
功能完整性方面，Vaultwarden支持Bitwarden所有核心特性：
- 端到端加密：采用AES-256和PBKDF2-SHA256算法保护数据
- 跨平台客户端：与官方App/插件100%兼容
- 组织共享：支持创建团队密码库（需Premium订阅的功能免费开放）
- WebSocket实时同步：任意设备修改后立即推送更新
技术栈选择上，Vaultwarden的Docker镜像仅有35MB大小，相比官方版的1.2GB堪称轻量。更重要的是，它对ARM架构设备的支持更完善——这意味着你可以在群晖DS218play这类入门机型上流畅运行，而官方服务器至少需要DS720+级别的x86处理器才能勉强带动。
提示：虽然Vaultwarden实现了官方API，但某些企业级功能如目录同步（SCIM）仍建议使用商业版。家庭用户完全无需担心功能缺失。
2. 证书管理：用mkcert打造全设备信任的HTTPS环境
密码管理器的特殊性决定了必须使用HTTPS加密传输——浏览器会直接拦截HTTP连接。传统自签名证书的痛点在于需要每台设备单独信任，而mkcert通过创建本地根证书机构（CA）完美解决了这个问题。其原理是在你的NAS上生成受信任的根证书，将其安装到各终端设备后，所有由该CA签发的证书都会自动获得信任。
2.1 在群晖上安装mkcert
通过SSH登录DSM系统（需管理员权限），执行以下命令获取预编译的Linux版mkcert：
wget -O mkcert https://github.com/FiloSottile/mkcert/releases/download/v1.4.4/mkcert-v1.4.4-linux-amd64 chmod +x mkcert sudo mv mkcert /usr/local/bin/验证安装是否成功：
mkcert --version # 应输出类似：v1.4.42.2 生成并安装证书
为NAS的内网IP（如192.168.1.100）创建证书，假设数据存储在/volume1/docker/vaultwarden/certs：
mkdir -p /volume1/docker/vaultwarden/certs cd /volume1/docker/vaultwarden/certs mkcert -install mkcert -cert-file bitwarden.pem -key-file bitwarden-key.pem 192.168.1.100关键文件说明：
bitwarden.pem：服务器证书bitwarden-key.pem：私钥文件rootCA.pem：需分发给客户端的根证书（默认位于~/.local/share/mkcert/rootCA.pem）
2.3 各平台证书安装指南
Windows系统：
- 将
rootCA.pem重命名为rootCA.crt - 右键文件选择"安装证书"
- 存储位置选择"本地计算机"→"受信任的根证书颁发机构"
macOS系统：
# 通过终端快速安装 sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain rootCA.pem移动设备：
- iOS：通过邮件发送证书附件，点击安装后需在设置→通用→关于→证书信任设置中启用
- Android：将证书放入设备存储后，在设置→安全→加密与凭据中安装
注意：证书安装完成后建议重启浏览器，部分应用（如Chrome）会缓存证书验证状态。
3. Docker Compose部署Vaultwarden服务
群晖的套件中心虽然提供Docker GUI，但复杂配置还是推荐用docker-compose.yml文件管理。以下配置已优化网络参数并启用WebSocket支持：
version: '3' services: vaultwarden: image: vaultwarden/server:latest container_name: vaultwarden restart: unless-stopped environment: SIGNUPS_ALLOWED: "true" # 是否允许新用户注册 WEBSOCKET_ENABLED: "true" # 启用实时同步 ADMIN_TOKEN: "your_strong_password" # 管理界面密码 ROCKET_TLS: '{certs="/data/certs/bitwarden.pem",key="/data/certs/bitwarden-key.pem"}' volumes: - /volume1/docker/vaultwarden/data:/data - /volume1/docker/vaultwarden/certs:/data/certs ports: - "443:80" # 外部HTTPS端口映射到内部80 networks: - vaultwarden_net networks: vaultwarden_net: driver: bridge ipam: config: - subnet: 172.20.0.0/24关键参数解析：
ADMIN_TOKEN：用于访问https://你的NAS IP/admin管理控制台- 卷映射：将证书目录和数据库目录持久化到NAS存储
- 网络配置：创建独立Docker网络避免端口冲突
启动服务只需在yml文件所在目录执行：
docker-compose up -d常见问题排查：
- 端口冲突：修改左侧端口号为未占用的如8443
- 证书路径错误：确认volumes映射路径与mkcert生成位置一致
- 权限问题：在群晖File Station中给
docker用户添加读写权限
4. 浏览器插件兼容性终极解决方案
最新版Bitwarden插件（2023年后）会检查服务器响应中的iterations参数，与Vaultwarden默认配置不兼容导致报错："cannot read properties of null(reading iterations)"。我们提供三种解决路径：
方案A：升级服务端配置（推荐）
编辑docker-compose.yml增加环境变量：
environment: ... PW_DEFAULT_ITERATIONS: 100000 PW_DEFAULT_MEMORY: 64 PW_DEFAULT_PARALLELISM: 4然后重建容器：
docker-compose down && docker-compose up -d方案B：Nginx反向代理配置
如果你使用群晖的反向代理服务，添加如下规则：
location /identity { proxy_pass http://localhost:443; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; }方案C：降级浏览器插件
对于临时解决方案，可以安装旧版插件：
- Chrome访问
chrome://extensions开启开发者模式 - 下载 1.49.0版本CRX文件
- 拖放文件到扩展页面完成安装
各方案优缺点对比：
| 方案 | 复杂度 | 安全性 | 长期可用性 |
|---|---|---|---|
| 服务端升级 | ★★★ | ★★★★★ | ★★★★★ |
| Nginx配置 | ★★★★ | ★★★★ | ★★★★ |
| 插件降级 | ★★ | ★★ | ★ |
5. 高级配置与外网安全访问
基础部署完成后，可以通过这些优化提升使用体验：
自动备份策略：
# 每日凌晨3点备份数据库 0 3 * * * docker exec vaultwarden sqlite3 /data/db.sqlite3 ".backup '/data/backup/db-$(date +\%Y\%m\%d).sqlite3'"内存限制优化： 在docker-compose.yml中添加：
mem_limit: 512m memswap_limit: 1g外网访问安全建议：
- 在路由器设置端口转发时，将外部端口改为非标准（如53482→443）
- 启用群晖防火墙，仅允许特定IP段访问443端口
- 定期检查
/admin界面的登录记录
实测在DS220+上运行Vaultwarden的资源占用情况：
| 指标 | 空闲状态 | 10用户活跃 |
|---|---|---|
| CPU占用率 | 0.5% | 3.2% |
| 内存占用 | 45MB | 68MB |
| 网络吞吐量 | 2KB/s | 28KB/s |
对于需要多因素认证的用户，Vaultwarden支持以下验证方式：
- TOTP（Google Authenticator）
- YubiKey（需Premium功能已免费开放）
- Duo Security（企业级集成）
在iPhone和Android设备上配置客户端时，如果遇到证书警告：
- 确保设备已安装之前生成的rootCA.crt
- 在App的"服务器设置"中关闭"证书验证"
- 首次登录成功后重新启用验证选项