Synology [Tuto] Installer Vaultwarden avec une sauvegarde automatique des données (nouvelle version)

[walloo]

Hello


Bon en me creusant la tête j'ai fini par trouver la solution pour pouvoir continuer à utiliser l'app Bitwarden Android avec Vaultwarden, en HTTPS et sans accès distant sauf via mon VPN WireGuard.

Je donne l'info ici au cas où ça peut servir à quelqu'un.

C'est plutôt classique :
- demander un certificat Let's Encrypt via DSM - avec les sous-domaines "*.mondomaine.synology.me" - et faire pointer l'instance Vaultwarden via un reverse proxy (suivre au besoin le tuto de @MilesTEG pour ceux qui ne savent pas comment faire)
- ne pas ouvrir quelque port que ce soit pour éviter d'exposer le NAS, Vaultwarden ou toute autre instance (dans la mesure où on a le VPN pour y accéder)
- créer une réécriture DNS (pour moi dans AdGuard) qui va faire pointer le sous-domaine du reverse proxy vers l'IP du NAS ("vaultwarden.mondomaine.synology.me" --> 192.168.x.x adresse du NAS) // en cas de connexion, ça permet ensuite au NAS de faire jouer le reverse proxy et d'envoyer la requête sur l'instance Vaultwarden
- utiliser l'adresse du reverse proxy pour se connecter au serveur Vaultwarden via Bitwarden Android, sous le VPN

L'app Android n'y verra que du feu car le HTTPSreverse proxy sera sous le certificat Let's Encrypt alors même que cette adresse n'est seulement accessible en local via le serveur DNS d'AdGuard et donc inaccessible depuis le net (sauf sous VPN)

J'espère avoir été assez clair, en tout cas à dispo au besoin


PS : le certificat LE ne me sert que pour le domaine et les sous-domaines, j'utilise le certificat auto-signé Synology pour le reste car rien n'est exposé en direct sans VPN pour ma part. Ce certificat est valable 1 an ça évite de se faire éjecter notamment de Synology Drive Client tous les 3 mois si j'utilise le certif LE...

 

[Chon]

Bonjour à tous,

Bon en me creusant la tête j'ai fini par trouver la solution pour pouvoir continuer à utiliser l'app Bitwarden Android avec Vaultwarden, en HTTPS et sans accès distant sauf via mon VPN WireGuard.

Désolé pour ce petit HS mais WireGuard fonctionne maintenant sur DSM sans bidouillage ?

 

[walloo]

Bonjour à tous,

Désolé pour ce petit HS mais WireGuard fonctionne maintenant sur DSM sans bidouillage ?

Salut non c'est forcément en docker mais mon instance tourne en native sur mon routeur GL.iNet - j'ai préféré faire gérer la partie réseau sur le routeur plutôt que sur le NAS qui n'est pas destiné à proprement parler à ça

 

[jeu2]

ça évite de se faire éjecter notamment de Synology Drive Client tous les 3 mois si j'utilise le certif LE...

Un nom de domaine Synology.me inclus un certificat Let's Encrypt wildcard gratuit. Il comprend tous les sous-domaines existants et à venir. Le renouvellement se fait automatiquement sans intervention. Seul le port 443 est nécessaire depuis quelques années pour le renouvellement du certificat Let's Encrypt. Il est donc tout à fait possible et surtout conseillé de n'ouvrir que le port 443 (https) pour faire passer tout le trafic à l'aide de différents reverse proxy. Mon routeur et mon nas n'ont que le port 443 ouvert.

 

[walloo]

Oui je sais bien ça sauf que j'ai réussi à obtenir le certif sans ouverture de ports pour ma part - peut-être que DSM arrive finalement à faire du DNS-01 ? serait temps en tout cas.
Mais ça n'empêche qu'à chaque renouvellement ta session Synology Drive Client sur windows est éjectée et il faut se relog
Et si tu fais pas gaffe au point d'exclamation rouge dans l'icone de la barre des tâches pour te relog tu n'es plus synchro....

 

[jeu2]

Oui je sais bien ça sauf que j'ai réussi à obtenir le certif sans ouverture de ports pour ma part

Impossible

 

[MilesTEG]

Impossible

Si si c'est possible, avec une validation DNS, ce que fait DSM avec le nom de domaine Synology.
Mais pas avec les autres domaines XD
Pour ceux-là, il faut passer par ACME, ou Certbot, via docker ou autre.

 

[jeu2]

@MilesTEG,
Sans port ouvert, DSM ne communique pas, ni avec Let's Encrypt, ni avec Synology account.
le dossier par défaut du certificat LE est /usr/syno/etc/certificate/system/default. le certificat n'arrivera pas.
Si ton Syno n'est plus connecté pendant un certain temps (je n'ai plus la valeur) ce qui a le même effet que de ne pas avoir de port ouvert, synology révoque ton adresse synology.me
Donc tu ne peux plus avoir de certificat Let's encrypt puisqu'il est lié à l'adresse.

 

[MilesTEG]

Sans port ouvert, DSM ne communique pas, ni avec Let's Encrypt, ni avec Synology account.
le dossier par défaut du certificat LE est /usr/syno/etc/certificate/system/default. le certificat n'arrivera pas.

Tout dépend de ce que tu appelles « port ouvert ».
Moi je parle de l’ouverture de port dans le routeur.
Si tu as configuré le pare-feu de DSM pour n’accepter aucune connexion extérieure au lan avec une règle explicite (qui n’est pas présente par défaut), alors oui rien ne fonctionnera même pas les mises à jour…

Si ton Syno n'est plus connecté pendant un certain temps (je n'ai plus la valeur) ce qui a le même effet que de ne pas avoir de port ouvert, synology révoque ton adresse synology.me

Ça c’est normal , DSM ne peut pas joindre le serveur Synology qui donne les certificats, alors au bout d’un certain nombre de jours, ton ndd est révoqué.

Mais je persiste à dire que même sans ouvrir de port 443 et 80 dans ton routeur en direction du NAS (port forwarding) ton DSM peut récupérer un certificat LE pour le nom de domaine Synology uniquement.

 

[rAnX06]

Bonjour

Je fais une "aparte" sur une mésaventure que je viens d'avoir sur exportation et l'importation de données sous vaultwarden.

Est ce que c'est normal sur les entrées que j'ai enregistré avant avec des pièces jointes, après une restauration sur autre installation docker je n'ai plus aucune pièces jointes a mes entrées

Est ce quelles se trouvent a un autre endroit ?

Merci

rAnX06

 

[MilesTEG]

Bonjour

Je fais une "aparte" sur une mésaventure que je viens d'avoir sur exportation et l'importation de données sous vaultwarden.

Est ce que c'est normal sur les entrées que j'ai enregistré avant avec des pièces jointes, après une restauration sur autre installation docker je n'ai plus aucune pièces jointes a mes entrées

Est ce quelles se trouvent a un autre endroit ?

Merci

rAnX06

Salut
Tout dépend de ce que tu appelles exportation / importation…
Développe ta méthode s’il te plaît.

Mais si tu avais copié les données du conteneur de ta machine1 vers la machine2, tu ne devrais rien avoir perdu.

 

[aware2]

Bonjour

Je fais une "aparte" sur une mésaventure que je viens d'avoir sur exportation et l'importation de données sous vaultwarden.

Est ce que c'est normal sur les entrées que j'ai enregistré avant avec des pièces jointes, après une restauration sur autre installation docker je n'ai plus aucune pièces jointes a mes entrées

Est ce quelles se trouvent a un autre endroit ?

Merci

rAnX06

Comme l'indique MilesTEG, si c'est les données "physiques" (db, fichier, etc.) de ton conteneur, tu dois tout retrouver.
Si c'est un export/import de coffre via l'interface web, je cite : "Seules les informations sur les éléments du coffre seront exportées et n'incluront pas les pièces jointes associées."

 

[rAnX06]

Salut
Tout dépend de ce que tu appelles exportation / importation…
Développe ta méthode s’il te plaît.

Mais si tu avais copié les données du conteneur de ta machine1 vers la machine2, tu ne devrais rien avoir perdu.

Bonsoir

C’est un compte (monadressemail@mail.fr) d’un coffre fort et pas l’exportation / importation de mon conteneur

rAnX06

Message automatiquement fusionné : 29 Août 2025

Comme l'indique MilesTEG, si c'est les données "physiques" (db, fichier, etc.) de ton conteneur, tu dois tout retrouver.
Si c'est un export/import de coffre via l'interface web, je cite : "Seules les informations sur les éléments du coffre seront exportées et n'incluront pas les pièces jointes associées."

Bonsoir

C’est bien cette manipulation décrite plus haut dans votre message, donc je comprends pourquoi je n’ai plus rien pour les pièces jointes.

Merci

rAnX06