VaultWarden certificaten intern

[PixelPionier]

Ik heb Vaultwarden op mijn Synology NAS geinstalleerd. Ik heb het in de browser van mijn PC werkend maar op mijn Android telefoon blijf ik vastlopen dat het certificaat van de server niet geverifieerd kan worden.

Ik wil VaultWarden niet van buitenaf beschikbaar maken. Alleen lokaal als ik op de WiFi zit is prima. Dit zou prima moeten werken en syncen wanneer ik weer op de WiFi ben.

De hostname van mijn synology is mynas.local. Daar met openssl een certifcaat voor maken, toevoegen aan de Synology, reverse proxy instellen werkte niet want dat conflicteerde met de Admin desktop pagina van de Synology zelf.
Ik heb toen maar vaultwarden.mijndomein.com aangemaalt naar 192.168.1.100 (ip van mijn nas). Toen met openssl een certificaat aangemaakt, toegevoegd aan de synology en de reverse proxy ingesteld. Daarmee werkte het op de PC. Ik moest wel eerst met de browser naar https://vaultwarden.mijndomein.com gaan voordat de browser plugin werkte.

Ik heb geprobeerd het certificaat toe te voegen op mijn telefoon. Hij zegt dat hij dat gedaan heeft. Maar het werkt vervolgens niet. In Chrome krijg ik een foutmelding dat de verbinding niet veilig is. In Bitwarden App krijg ik een melding dat het cert vd server niet geverifieerd kon worden.

Ik heb dus een self signed cert gemaakt met een geldigheid van 10 jaar omdat ik dus niet de hele tijd een certificaat wil vernieuwen. Dat is ook niet nodig in deze thuis omgeving waar het uitsluitend lokaal te benaderen is.

Hoe moeilijk kan het zijn om Vaultwarden op een Synology NAS te zetten en dan alle devices daar mee te laten verbinden op het moment dat ze lokaal in de WiFi zitten?

Ik ben nu officieel vastgelopen!

[ Voor 8% gewijzigd door PixelPionier op 23-01-2026 17:05 ]

[F_J_K]

Vooropgesteld: ik heb nul ervaring met Android en Chrome (want: Google...) en heb geen Syno meer sinds hun HDD whitelist-gepruts dus kan niet proberen.

Ik kan me voorstellen dat Vaultwarden geen zelf gemaakte key vertrouwt. Dat wil je testen.

En ik zou dan een 'echte' key aanmaken. Dat kan intern only: DNS-entry die intern naar 192.* verwijst, alleen intern verkeer toestaan en extern alleen naar de reverse proxy die de key valideert. Dat is een variant van wat ik doe voor mijn NAS.

Ook pas ik de topictitel aan. Er is geen levensgevaar. HELP is niet nodig, duiding van de vraag wel.

[ Voor 9% gewijzigd door F_J_K op 25-01-2026 00:25 ]

[Ruben279]

je zou iets met self-signed of een eigen CA kunnen gaan doen, maar dat maakt het alleen maar onnodig complex.

Het makkelijkste is gebruik gaan maken van een LetsEncrypt certificaat.
Dat is een grote CA, dus geen problemen dat het certificaat niet getrust wordt op je devices.

Webbrowsers gaan op zeer korte termijn over de modus waarin naar SSL/TLS certificaten nog maar maximaal 47 dagen geldig mogen zijn. Je zal dus e.e.a. met het ACME protocol moeten gaan doen zodat het certificaat automatisch wordt verlengd wanneer de einddatum nadert, maar dat is zo te zien allemaal al mogelijk binnen Synology DSM.

(Meer info: https://www.swisssign.com/en/blog/tls-validity-47-days.html)

Hoe het configureren er precies uit ziet binnen Synology DSM en Vaultwarden weet ik niet, heb nu even geen mogelijkheid om dat te checken maar in theorie zou het moeten kunnen werken.


Toevoeging: het gebruiken van een certificaat dat uitgegeven is door een externe partij (LetsEncrypt, DigiCert, whatever...) maakt verder niks uit voor de bereikbaarheid van je Vaultwarden omgeving vanaf internet. Dat is nergens voor nodig en kan ook met een publieke CA zoals de eerder genoemde partijen gewoon enkel bereikbaar blijven vanaf je interne netwerk.

[ Voor 17% gewijzigd door Ruben279 op 25-01-2026 22:48 ]

[BytePhantomX]

Ruben279 schreef op zondag 25 januari 2026 @ 22:47:
Het makkelijkste is gebruik gaan maken van een LetsEncrypt certificaat.
Dat is een grote CA, dus geen problemen dat het certificaat niet getrust wordt op je devices.

Ik heb meerdere diensten thuis draaien en zou ze graag achter een certificaat hangen. Nadeel is dat voor Lets Encrypt je een domein nodig hebt en een internet facing dienst voor validatie. En vanuit security principe wil ik liever niets direct aan het internet hebben hangen. Alles liever achter een VPN.

Een andere optie is inderdaad met self signed certificates gaan werken, maar dat is wat mij betreft erg veel gedoe. Wil je die infrastructuur managemen en certificaten betrouwbaar deployen, dan moet je bijna je eigen mini enterprise omgeving gaan opbouwen en beheren.

Kortom: ik heb de ideale oplossing nog niet gevonden.

Update: ik zat even te zoeken maar blijkbaar kun je dit wel inrichten met LetsEncrypt. Misschien toch eens verder onderzoeken.

[ Voor 6% gewijzigd door BytePhantomX op 26-01-2026 10:26 ]

[Cyphax]

BytePhantomX schreef op maandag 26 januari 2026 @ 10:22:
[...]


Ik heb meerdere diensten thuis draaien en zou ze graag achter een certificaat hangen. Nadeel is dat voor Lets Encrypt je een domein nodig hebt en een internet facing dienst voor validatie.

Je hebt voor een dns-challenge geen internet-facing device nodig, het hoeft alleen maar een dns-record op te vragen. Dat zit niet in de weg voor toegang vanaf vpn. Een domein heb je inderdaad wel nodig, maar als je binnen je netwerk een aparte dns-server draait (bijvoorbeeld PiHole), dan kan je eigenlijk alles binnen je lan houden.

[BytePhantomX]

Ik ben het nu inderdaad aan het uitzoeken. Kijken hoever ik kom. Niettemin blijft het wel aardig wat werk en is het redelijk complex.

[GarBaGe]

BytePhantomX schreef op maandag 26 januari 2026 @ 10:22:
[...]


Ik heb meerdere diensten thuis draaien en zou ze graag achter een certificaat hangen. Nadeel is dat voor Lets Encrypt je een domein nodig hebt en een internet facing dienst voor validatie. En vanuit security principe wil ik liever niets direct aan het internet hebben hangen. Alles liever achter een VPN.

Een andere optie is inderdaad met self signed certificates gaan werken, maar dat is wat mij betreft erg veel gedoe. Wil je die infrastructuur managemen en certificaten betrouwbaar deployen, dan moet je bijna je eigen mini enterprise omgeving gaan opbouwen en beheren.

Kortom: ik heb de ideale oplossing nog niet gevonden.

Update: ik zat even te zoeken maar blijkbaar kun je dit wel inrichten met LetsEncrypt. Misschien toch eens verder onderzoeken.

Ik heb ook niet de ideale situatie...
Maar... ik heb een domeinnaam gekocht.
Deze gebruik ik (alleen) op mijn interne netwerk (lokale DNS).
Dan kan ik Lets Encrypt certificaten aanmaken en gebruik DNS API validatie.
Een cronjob op mijn NAS ververst alle certificaten van tijd tot tijd en (her) installeert ze op de diverse apparaten in mijn lokale netwerk.
Niets is van buitenaf bereikbaar.

[Lex2]

Ruben279 schreef op zondag 25 januari 2026 @ 22:47:
je zou iets met self-signed of een eigen CA kunnen gaan doen, maar dat maakt het alleen maar onnodig complex.

Het makkelijkste is gebruik gaan maken van een LetsEncrypt certificaat.
Dat is een grote CA, dus geen problemen dat het certificaat niet getrust wordt op je devices.

LetsEncrypt is veruit het makkelijkste, maar daarvoor heb je dus een publiek bestaand domein nodig om een certificaat voor te genereren (ookal is je subdomein alleen maar intern te benaderen).

Wil je met openssl iets doen dan heb volgens mij (minimaal) 2 dingen nodig:
* Zelfgegenereerd/selfsigned Root CA
* Certificaat voor je Vaultwarden deployment die gesigned is met de key van je gegenereerde RootCA.

Het RootCA zou je dan op je Android telefoon kunnen installeren/importeren en die zou dan het certificaat van je Vaultwarden instance wél moeten vertrouwen.