一、简介
随着各种生活服务的网络化，我们对网络的信赖程度也越来越高，各种平台的帐户管理也不是一个轻松的事情。一次次的海量用户信息泄露事件就是一次次血淋淋的教训，用专用工具管理密码就变的势在必行。
早期我的解决方案是用苹果的iCloud钥匙串，但不支持多平台，后来购买了大名鼎鼎的1Password，但每年35.88刀的服务费让人感觉不爽。由于疫情的影响，今年春节响应国节号召原地过节，有时间接触到了Bitwarden，一个开源的密码管理工具，经过测试，功能上完全可以作为1Password的完美替代方案，更重要的是可以部署到自己的服务器上。
二、Bitwarden简介
按照官方的介绍，Bitwarden是一款开源的密码管理器，可以适用于任何的平台：Windows、Mac、Linux；iOS和Android；Chrome、Firefox、Safari、Edge等浏览器扩展。版本的选择上可以用他的免费版本（云存储），也可以将服务部署在自己的NAS上（高级版本功能）。本次我选的方案是将Bitwarden部署在自己的NAS上。
特别声明：
以下操作只是把个人搭建的过程分享出来，但不对由此带来的任何后果负责。
三、平台环境
网络：软路由 OpenWrt 5.4.92 eSir高大全版本（选他的原因是因为支持NAT回流，支持局域网内通过域名访问服务器）
NAS：群晖DS 216+II （DSM 6.2.3-25426 Update 3），自带Docker
四、Docker安装步骤
1） 打开文件管理器，在Docker目录下新建Bitwarden目录，然后再新建一个ssl子目录，用于存放证书文件（后面会进行说明）。
2） 打开Docker，在注册表中搜索Bitwardenrs然后下载，映像文件180M，需要等待几分钟。下载完成后点击启动，进行容器的配置。
3） 设置文件夹加载路径和映射外部访问端口号（我用的是5080）
4） 设置完成启动Bitwarden，现在可以通过http://群晖IP：5080进行访问了。
5） 点创建账号，按照系统提示创建一个新用户，登录后就可以正常使用了。
至此，Docker容器的配置基本上就完成了。
五、外部通过域名进行访问
外部访问有多种情况，有固定IP的用IP或绑定域名访问，动态IP的可以通过DDNS绑定域名访问，大内网IP的可以通过工具（如FRP）透传后访问，总之有很多方式，在此不做详细介绍，大家可问度娘。
本文是通过动态IP+DDNS绑定域名进行访问，平时也是通过域名来访问NAS上的所有服务。下面就设置做下简单说：
1） 申请一个域名，免费付费的均可，设定好DDNS的绑定（具体方法度娘）
2） 为该域名申请一个免费证书并下载（示例为阿里免费证书，仅支持一个二级域名。特别提示：免费证书到期后需进行在证书管理和ssl目录两处同步更新）
3） 将证书导入到群晖NAS中（NAS上的所有服务均可通过域名+端口号进行访问）
4） 将证书放入到Bitwarden下的ssl目录，并在Docker容器中进行配置
容器中增加以下参数：
ROCKET_TLS {certs="/ssl/cert.pem",key="/ssl/privkey.pem"}
5） 在路由器的防火墙中，增加一条转发记录，将外网访问指向NAS的内网IP地址，端口号即刚才Docker中映射的5080，外网访问端口可根据喜好设定，我设的是5081。
6） 到此，外网可以通过https://你的域名：5081来访问Bitwarden了。
六、必要的安全设置（不设置不会影响正常的使用）
处于安全方面的考虑，我们还需要做一些必要的设置。毕竟作为一个重要的密码管理工具，尽量将风险控制在自己的可控范围内。
1） 关闭非必要的注册和邀请功能，在Docker中增加两个变量，操作方法和5.4一致
SIGNUPS_ALLOWED=false（关注册）
INVITATIONS_ALLOWED=false（关邀请）
2） 开启两步验证，增加一道安全防线（我用的是谷歌身份验证器）
七、客户端和手机端的配置都比较简单，只需先把服务器指向自己的地址即可。
1） 从Bitwarden官网下载最新的客户端，目前的客户端版本支持指纹登录，但浏览器插件暂时还是部分支持。
2） 在登录设置中将服务器指向自己的地址，客户端和手机端操作一致。
总体来说，从1Password切换到Bitwarden，刚开始会有一些操作习惯上的不便，慢慢习惯就好了。功能上也都差不多，支持将原1Password数据无缝导入。在支持的存储类型上，Bitwarden要少一些，不过我们主要还是以登录类型的帐号为主，影响不是太大。另外，Bitwarden现在客户端已支持指纹登录，但浏览器插件还不支持（官方表示会尽快推出）。
自己用了几个月，总体感觉还算满意，个人感觉是一个不错的1Password免费替代方案。
