วิธีตั้งค่าและใช้งาน Bitwarden Self‑Hosted บนเซิร์ฟเวอร์ส่วนตัวเพื่อจัดการรหัสผ่านอย่างปลอดภัยอย่างเป็นระบบ

Overview

Bitwarden Self‑Hosted คือโซลูชันจัดการรหัสผ่านแบบโอเพ่นซอร์สที่คุณสามารถติดตั้งบนเซิร์ฟเวอร์ส่วนตัวได้ การทำเช่นนี้ช่วยให้ข้อมูลสำคัญอยู่ในพื้นที่ของคุณเอง ลดความเสี่ยงจากการรั่วไหลของบริการคลาวด์ และยังคงได้ฟีเจอร์ครบครันของ Bitwarden

• Self‑Hosted ให้คุณควบคุมคีย์การเข้ารหัสทั้งหมด
• สามารถเชื่อมต่อจากอุปกรณ์หลากหลายระบบปฏิบัติการ
• รองรับการทำงานแบบออฟไลน์และการสำรองข้อมูลอัตโนมัติ

Prerequisites

ก่อนลงมือทำ ควรตรวจสอบว่าระบบของคุณพร้อมรองรับการติดตั้งหรือไม่

• เซิร์ฟเวอร์ Linux (Ubuntu 20.04 หรือใหม่กว่า) หรือ Windows 10 ขึ้นไป (สำหรับ Docker)
• มี CPU อย่างน้อย 2 คอร์, RAM ≥ 2 GB, พื้นที่ดิสก์ ≥ 10 GB
• การเชื่อมต่ออินเทอร์เน็ตเพื่อดึง Docker image
• พอร์ต 80 และ 443 ต้องเปิดให้เข้าถึงจากภายนอก (หรือใช้ reverse proxy)

**Tip: หากคุณไม่มี IP สาธารณะ สามารถใช้ Cloudflare Tunnel หรือ Ngrok เพื่อเปิดเผยพอร์ตอย่างปลอดภัย

Install Docker & Docker‑Compose

Docker เป็นแพลตฟอร์มคอนเทนเนอร์ที่ Bitwarden ใช้ในการรันแอปพลิเคชัน

• **ขั้นที่ 1: อัปเดตแพกเกจพื้นฐาน

```bash sudo apt update && sudo apt upgrade -y ```

• **ขั้นที่ 2: ติดตั้ง Docker Engine

```bash curl -fsSL https://get.docker.com | sudo sh ```

• **ขั้นที่ 3: ตรวจสอบการติดตั้ง

```bash docker --version ```

• **ขั้นที่ 4: ติดตั้ง Docker‑Compose (เวอร์ชัน 2)

```bash sudo curl -L "https://github.com/docker/compose/releases/download/v2.27.0/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose sudo chmod +x /usr/local/bin/docker-compose ```

• **ขั้นที่ 5: ตรวจสอบเวอร์ชัน

```bash docker compose version ```

Deploy Bitwarden

การติดตั้ง Bitwarden ทำได้โดยใช้สคริปต์อัตโนมัติของโครงการ

• **ขั้นที่ 1: ดาวน์โหลดสคริปต์ติดตั้ง

```bash curl -Lso bitwarden.sh https://func.bitwarden.com/install.sh ```

• **ขั้นที่ 2: ให้สิทธิ์รันสคริปต์

```bash chmod +x bitwarden.sh ```

• ขั้นที่ 3: เริ่มการติดตั้ง (เลือก Self‑Hosted**)

```bash ./bitwarden.sh install ```

• **ขั้นที่ 4: ระบุโฟลเดอร์เก็บข้อมูล (`/bw-data`) และตั้งค่าโดเมน (เช่น `vault.example.com`)
• **ขั้นที่ 5: เริ่มบริการ

```bash ./bitwarden.sh start ```

ระบบจะสร้างคอนเทนเนอร์ 4 ตัว ได้แก่ `api`, `web`, `notifications`, `admin` และกำหนด reverse proxy ด้วย Caddy ให้ทำงานอัตโนมัติ

Configuration (Optional)

บางกรณีต้องการปรับแต่งเพิ่มเติม เช่น การเชื่อมต่อ LDAP, การเปิดใช้งาน 2FA, หรือการตั้งค่า SMTP สำหรับอีเมลแจ้งเตือน

• แก้ไขไฟล์ `docker-compose.yml` หรือไฟล์ `.env` ในโฟลเดอร์ `bw-data`
• เพิ่มตัวแปร `SMTP_HOST`, `SMTP_PORT`, `SMTP_USERNAME`, `SMTP_PASSWORD` เพื่อใช้บริการอีเมลของคุณ
• เปิดใช้งาน LDAP Sync โดยกำหนด `LDAP_URL`, `LDAP_USER_DN`, `LDAP_PASSWORD`

Tip: ค่าตัวแปรทั้งหมดควรเข้ารหัสด้วย Docker secrets** เพื่อป้องกันการรั่วไหลในไฟล์คอนฟิก

Maintenance

การดูแล Bitwarden Self‑Hosted มีขั้นตอนหลักสองส่วน คือ อัปเดต และ สำรองข้อมูล

• อัปเดต
• ตรวจสอบเวอร์ชันล่าสุดด้วย `docker pull bitwarden/server:latest`
• รัน `./bitwarden.sh updateself` เพื่อติดตั้งอัปเดตโดยอัตโนมัติ
• สำรองข้อมูล
• ใช้ `./bitwarden.sh backup` เพื่อสร้างไฟล์ `bwdata.tar.gz`
• เก็บสำเนาไว้ในระบบสตอเรจภายนอก (เช่น S3, Google Drive)

Security Tips

แม้ Bitwarden มีการเข้ารหัสระดับศูนย์ (`AES‑256‑GCM`) แล้ว การตั้งค่าที่ปลอดภัยยังเป็นกุญแจสำคัญ

• ใช้ HTTPS ตลอด โดยให้ Caddy จัดการใบรับรองจาก Let’s Encrypt
• เปิด Two‑Factor Authentication (TOTP หรือ U2F) สำหรับผู้ใช้ทั้งหมด
• จำกัดการเข้าถึงพอร์ต `80/443` ด้วย firewall (UFW/iptables) ให้เฉพาะ IP ที่ต้องการ
• ปิด Admin Portal หากไม่ต้องการให้ผู้ดูแลระบบเข้าถึงโดยตรง (ตั้งค่า `ADMIN_TOKEN` เป็นค่าว่าง)

Tip: ตรวจสอบรายการอุปกรณ์ที่เชื่อมต่อใน Settings Devices** อย่างสม่ำเสมอ เพื่อลบอุปกรณ์ที่ไม่ได้ใช้งาน

Summary

การตั้งค่า Bitwarden Self‑Hosted บนเซิร์ฟเวอร์ส่วนตัวให้ความปลอดภัยและอิสระในการจัดการรหัสผ่านได้อย่างเต็มที่

• เตรียมเซิร์ฟเวอร์พร้อม Docker & Docker‑Compose
• ใช้สคริปต์ `bitwarden.sh` เพื่อติดตั้งและรันคอนเทนเนอร์
• ปรับแต่งคอนฟิก (SMTP, LDAP) ตามความต้องการ
• ดูแลอัปเดตและสำรองข้อมูลอย่างสม่ำเสมอ
• ปฏิบัติตามแนวทางความปลอดภัย (HTTPS, 2FA, firewall)

ทำตามขั้นตอนเหล่านี้ คุณจะมีระบบจัดการรหัสผ่านที่เป็นของคุณเอง ปลอดภัย และพร้อมใช้งานบนอุปกรณ์ทุกชนิดโดยไม่มีการพึ่งพาบริการคลาวด์ภายนอก.