VaultWarden certificaten intern

[PixelPionier]

Ik heb Vaultwarden op mijn Synology NAS geinstalleerd. Ik heb het in de browser van mijn PC werkend maar op mijn Android telefoon blijf ik vastlopen dat het certificaat van de server niet geverifieerd kan worden.

Ik wil VaultWarden niet van buitenaf beschikbaar maken. Alleen lokaal als ik op de WiFi zit is prima. Dit zou prima moeten werken en syncen wanneer ik weer op de WiFi ben.

De hostname van mijn synology is mynas.local. Daar met openssl een certifcaat voor maken, toevoegen aan de Synology, reverse proxy instellen werkte niet want dat conflicteerde met de Admin desktop pagina van de Synology zelf.
Ik heb toen maar vaultwarden.mijndomein.com aangemaalt naar 192.168.1.100 (ip van mijn nas). Toen met openssl een certificaat aangemaakt, toegevoegd aan de synology en de reverse proxy ingesteld. Daarmee werkte het op de PC. Ik moest wel eerst met de browser naar https://vaultwarden.mijndomein.com gaan voordat de browser plugin werkte.

Ik heb geprobeerd het certificaat toe te voegen op mijn telefoon. Hij zegt dat hij dat gedaan heeft. Maar het werkt vervolgens niet. In Chrome krijg ik een foutmelding dat de verbinding niet veilig is. In Bitwarden App krijg ik een melding dat het cert vd server niet geverifieerd kon worden.

Ik heb dus een self signed cert gemaakt met een geldigheid van 10 jaar omdat ik dus niet de hele tijd een certificaat wil vernieuwen. Dat is ook niet nodig in deze thuis omgeving waar het uitsluitend lokaal te benaderen is.

Hoe moeilijk kan het zijn om Vaultwarden op een Synology NAS te zetten en dan alle devices daar mee te laten verbinden op het moment dat ze lokaal in de WiFi zitten?

Ik ben nu officieel vastgelopen!

[ Voor 8% gewijzigd door PixelPionier op 23-01-2026 17:05 ]

[F_J_K]

Vooropgesteld: ik heb nul ervaring met Android en Chrome (want: Google...) en heb geen Syno meer sinds hun HDD whitelist-gepruts dus kan niet proberen.

Ik kan me voorstellen dat Vaultwarden geen zelf gemaakte key vertrouwt. Dat wil je testen.

En ik zou dan een 'echte' key aanmaken. Dat kan intern only: DNS-entry die intern naar 192.* verwijst, alleen intern verkeer toestaan en extern alleen naar de reverse proxy die de key valideert. Dat is een variant van wat ik doe voor mijn NAS.

Ook pas ik de topictitel aan. Er is geen levensgevaar. HELP is niet nodig, duiding van de vraag wel.

[ Voor 9% gewijzigd door F_J_K op 25-01-2026 00:25 ]

[Ruben279]

je zou iets met self-signed of een eigen CA kunnen gaan doen, maar dat maakt het alleen maar onnodig complex.

Het makkelijkste is gebruik gaan maken van een LetsEncrypt certificaat.
Dat is een grote CA, dus geen problemen dat het certificaat niet getrust wordt op je devices.

Webbrowsers gaan op zeer korte termijn over de modus waarin naar SSL/TLS certificaten nog maar maximaal 47 dagen geldig mogen zijn. Je zal dus e.e.a. met het ACME protocol moeten gaan doen zodat het certificaat automatisch wordt verlengd wanneer de einddatum nadert, maar dat is zo te zien allemaal al mogelijk binnen Synology DSM.

(Meer info: https://www.swisssign.com/en/blog/tls-validity-47-days.html)

Hoe het configureren er precies uit ziet binnen Synology DSM en Vaultwarden weet ik niet, heb nu even geen mogelijkheid om dat te checken maar in theorie zou het moeten kunnen werken.


Toevoeging: het gebruiken van een certificaat dat uitgegeven is door een externe partij (LetsEncrypt, DigiCert, whatever...) maakt verder niks uit voor de bereikbaarheid van je Vaultwarden omgeving vanaf internet. Dat is nergens voor nodig en kan ook met een publieke CA zoals de eerder genoemde partijen gewoon enkel bereikbaar blijven vanaf je interne netwerk.

[ Voor 17% gewijzigd door Ruben279 op 25-01-2026 22:48 ]