自建前先想清楚：设备、网络与备份成本

读到这里，你可能已经准备挑机器、敲命令了。先停一下。自建密码管理不是装完容器就结束的一次性项目，而是一台要常年在线的设备、一套要长期维护的网络方案、以及一个必须常态化运转的备份流程。这篇在动手之前，把三笔账算给你看：设备多少钱、网络怎么通、维护要投入多少时间，最后还有一笔很多人忽略的账——数据在自己手上，意味着出了问题没有客服可以找。想清楚这些，再进下一篇的环境准备，你会少走很多弯路。

先说这篇的意义。前面三篇解决的是“选哪条路线”,这篇解决的是”我适不适合走这条路“。很多人照着教程把 Vaultwarden 装好了，用了两个月才发现：家里设备半夜自动重启、手机在外面连不上、磁盘突然报错又没备份——这些都不是软件问题，而是开工前该算清楚的账。算清楚了，自建是长期省心；算不清楚，自建是长期添堵。

第一笔账：设备从哪儿来

跑 Vaultwarden 的硬件门槛非常低，这是好消息。它对 CPU 几乎没要求，内存占用几百 MB，磁盘主要装你的保险库——纯文本密码库几年也就几十 MB，就算带大量附件，几百 GB 的盘也绰绰有余。现实中的选择通常是三种。

第一种是旧电脑。家里淘汰的台式机或笔记本，装好系统常年通电，零硬件采购成本，缺点是功耗高——老机器待机可能就二三十瓦，一年电费不是小数，而且风扇噪音和可靠性要考虑。第二种是家用 NAS。如果你本来就有 NAS，它的 Docker 环境和硬盘位天然适合跑这个服务，一台设备同时承担文件存储和密码服务，边际成本最低；NAS 的选型细节可以参考 家用 NAS 选购与上手指南。第三种是低功耗小主机，N100 这一类，整机待机十瓦上下，几百块钱一次投入，噪音几乎没有，是很多自建玩家的主力选择。

注意一个反直觉的点：自建的设备成本几乎不等于密码服务的成本。如果你本来就在搭家庭服务器，把 Vaultwarden 放进现有机器的 Docker 里，它的边际成本接近零；真正的成本是你为了它单独买设备、单独通电。后者要诚实计入电费和折旧费。还有一个容易忽略的要求：设备要设置成来电自启。家里偶尔跳闸断电，来电之后设备能自己起来，密码服务才不会无声无息地中断——这个 BIOS 里的选项，比硬件本身更影响日常体验。

第二笔账：网络怎么从外面通到家里

只在家里用，网络这一关几乎不存在——设备连家里 Wi-Fi 就能同步。但密码管理器的价值恰恰在于外出时也能填密码：手机在外面用流量时，要能连回家里的服务端。这就需要把家里的服务安全地暴露到公网。

第一条路是公网 IP 加 DDNS。如果你从运营商那里拿到了公网 IP(很多宽带可以申请到)，配合 DDNS 动态域名解析，域名永远指向你家当前的 IP，再由反代处理 HTTPS。这是最标准、最稳定的做法，但公网 IP 不总是免费可得，且家庭带宽的上行通常很小，多人同时同步也够用，别指望拿它当高速云盘。第二条路是内网穿透，没有公网 IP 也能让外网访问到家里的服务，靠中转线路打通，配置更简单，但依赖中转服务的可用性和速度。这两种方案的原理、取舍和具体配置，在 软路由实战手册 里有系统讲解，本章只要求你理解它对密码服务意味着什么。

无论走哪条路，有一条底线：不要把服务端口直接裸奔到公网。反代、HTTPS、防火墙、改默认端口，这几样都是下一篇环境准备里要做的事，这篇你只需要知道——网络这关躲不过去，且它是自建成本里最需要提前投入精力理解的部分。还有个现实问题要想清楚：如果你住在出租屋、宽带被层层套了几层 NAT，拿不到公网 IP 也配不了路由器，那自建远程访问的体验会大打折扣。这种情况下先别冲动采购设备，把网络环境摸清楚再说。

第三笔账：时间和精力的长期投入

自建不是买完设备就完了，它是一项长期的维护任务，主要包括三块。更新：服务端要跟着稳定版升级，本书示例的固定标签当前是 1.37.4，将来发现新版要能顺利拉镜像替换；虽然单容器升级很简单，但你得愿意不定期地做这件事，并且知道升级前先备份。备份：保险库的数据目录要定期落到独立介质，至少两份本地、一份异地，且定期验证备份真的能恢复。排障：某天手机突然连不上了，你要能分得清是网络问题、容器挂了、还是证书过期，至少要会看容器日志和反代日志。

把这三块量化一下：顺利的话，每个月平均投入一小时；出问题的月份，一个下午。对喜欢折腾的人这是乐趣，对只想用密码管理器的人这是负担。诚实地问自己：你愿意为每年省几百块订阅费、换来数据完全自主，持续投入这些时间吗？愿意，自建就是好买卖；不愿意，商业云的费用里有一大半其实是在替你支付这些麻烦。

还有一个隐性成本很少有人提：注意力成本。自建之后，你会忍不住关注版本更新、盯着日志、研究安全公告——这本身是好事，但如果你本来只想安安静静用密码，这种牵挂会变成慢性消耗。自建的乐趣和负担是同一件事的两面，想清楚自己享受哪一面，比算钱更重要。

备份这件事值得单独说透。你的容器数据目录就是保险库本体，备份策略可以很简单：定时任务把这个目录压缩后，一份扔到家里另一块硬盘或另一台设备，一份通过同步工具放到异地网盘。但备份的关键不是拷出来，而是定期验证能恢复——很多人备份了两年，真要恢复时才发现副本早就损坏。每季度做一次恢复演练，比多拷几份更有价值。

备份这件事，具体怎么做才不算白做

既然反复强调备份，这里把落地姿势一次说清。你的备份对象只有一个：容器的数据目录，也就是挂载到 /data 的那个宿主机文件夹。整个目录拷走，就是一份完整可用的保险库；将来换机器，把它挂到新容器上，数据原样回来。

推荐的最低配置是这样：第一份，本机另一块硬盘或另一个目录，由定时任务每天自动压缩一次；第二份，家里另一台设备或者一块移动硬盘，每周同步一次；第三份，异地——可以是加密后上传到任意一个网盘，也可以是定期把移动硬盘带回办公室或父母家轮换。三份的核心逻辑是：任何单一故障(硬盘坏、家里被盗、网盘停服)都不会同时伤到三份。

最容易被跳过的一步是恢复演练。每季度选一次，把某个备份目录挂到一个临时容器里，确认能登进去、能看到条目。备份了两年从未试过恢复，和没备份的距离，只隔一次磁盘损坏。另外记住一个原则：备份里包含的就是你的全部密码，所以异地备份本身要加密，压缩包设一个强密码，不要让网盘管理员帮你保管明文。

网络这关，没有公网 IP 怎么办

把网络账再算细一点。有公网 IP 加 DDNS，是最稳的远程方案：域名永远指向家里，反代自动续证书，手机在任何网络下都能直连。没有公网 IP，也不代表自建不可行：内网穿透服务可以把家里的端口映射到一个中转地址，你连的是中转、回源到家里，代价是多一跳、速度受限于中转节点，并且依赖那个中转服务的持续运营。

还有第三条路值得说：完全不暴露公网。只在家里用，外出时需要密码就手动从保险库导出或者靠手机本地的副本应急。这条路把网络风险降到零，但你要接受外出场景的不便。很多用户的真实选择是折中：平时走内网，临时需要远程时再临时开穿透，用完关掉。这三种走法没有对错，只有哪种匹配你的网络条件和风险偏好。

最后一笔账：责任全部在你

这是最重要、也最少被提到的一笔。数据在自己手上，意味着数据的可用性和安全性，再也没有厂商替你兜底。磁盘坏了没备份，保险库永久丢失；忘了主密码，没有客服能帮你找回；服务器被入侵，没有厂商的安全团队帮你擦屁股。这不是劝退——Vaultwarden 的加密模型本身是可靠的——而是要你明白：自建换来的自由，对价就是这份责任。

好消息是，这份责任有明确的边界，而且都可操作：备份做好，责任就卸掉大半；网络暴露收敛、默认端口改掉、防火墙收紧，安全责任就卸掉大半。我们把这些动作拆进后面的章节逐项完成，你不需要先成为运维专家。换个角度看，这份责任其实也没那么可怕：它就是那几页清单上的事，做完一次管很久，不像企业运维那样天天救火。再往深说一层，责任意识恰恰是密码管理最核心的素养——商业云把责任外包出去，也让很多人放弃了思考备份和主密码这些本该自己懂的事。自建逼你搞懂的这些概念，就算哪天你放弃自建回到商业云，它们也依然是你管理数字身份的基本功。

把三笔账加总：设备电费一年几十到一百多，网络准备一次性投入半天时间，维护每月一小时左右。换来的是数据完全自主和没有订阅费的长期使用。对打算长期使用的人，这个投入产出比是成立的；对用一两年就嫌麻烦的人，它就是沉没成本。所以这篇的最后一句还是那个建议：先算清楚自己是哪种人，再决定要不要开工。

延伸阅读

• 设备方案拿不定主意，旧电脑、小主机、NAS 三类路线的硬件账更细的版本在 家用 NAS 家庭服务器搭建指南 的服务规划章节。
• 想清楚成本之后，下一篇就是把环境真正准备好：设备、系统、Docker、端口、域名与安全基线，一次列清。
• 下一篇：搭建环境准备：一台长期在线的设备就够了。