Herstel WireGuard-tonnels van ’n dooie Windows-rekenaar

’n Skootrekenaar sterf met drie WireGuard-tonnels wat opgestel is, en die konfigurasielêers is steeds op die skyf. As jy hulle na ’n vervangingsmasjien kopieer, kry jy ’n diens wat begin en dan weier om op te kom. Die lêers is beskerm met ’n sleutel wat aan die rekening en masjien behoort wat hulle geskep het, so die grepe reis en die vermoë om hulle te lees nie. Die stap-vir-stap hieronder gaan van die vind van die lêer tot die opsie wat werklik die diens herstel.

Waar die tonnel-lêer tans is

Die berging het tussen weergawes verskuif. Ouer installasies het profiele in die stelselprofiel se plaaslike toepassingsdata onder ’n WireGuard\Configurations-gids gehou, en huidige weergawes gebruik ’n datagids binne die programlêergids. Elke tonnel is ’n enkele lêer met ’n dubbele uitbreiding wat die beskerming benoem:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Die agtervoegsel .dpapi is nie versiering nie. Die lêer is ’n beskermde blob, en die diens is ontwerp om dit presies in daardie vorm te gebruik. Die ondersteunde manier om ’n tonnel daaruit te installeer is ’n verhoogde oproep wat na die blob wys:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Daardie opdrag slaag net in die konteks wat die blob kan oopmaak. Dit installeer ’n diens; dit ontsleutel niks vir jou nie.

Waarom die blob elders nie oopgaan nie

Die beskerming lei sy sleutel van die gebruiker se aanmeldingsbewyse en, afhangend van die gekose omvang, van die masjien. Microsoft se dokumentasie vir die beskermingsoproep sê die verstek behoort aan die gebruiker en masjien wat dit versleutel het, en ’n masjienwye opsie verander wie dit mag oopmaak. In beide gevalle woon die sleutel in die bedryfstelsel se bewysmateriaal, nie binne die lêer nie. Die syferteks is draagbaar; die sleutel is nie.

Om eienaarskap van die gids te neem verander ’n ACL en niks anders nie. Om die ou skyf in ’n omhulsel te monteer en die blob na ’n nuwe rekenaar te kopieer, laat jou met syferteks waarvan die sleutel nooit gekopieer is nie. Die fout is ’n kriptografiese een, en geen hoeveelheid herinstallasie van die diens verander dit nie. Die nuwe masjien het geen meestersleutel vir daardie rekening nie, en die ou sleutelbergplek reis nie saam met die lêer nie.

Produkte wat instellings in ’n verdoeselde lêer berg, maak die kontras duidelik. ’n Konfigurasie wat bloot verdoesel is, word leesbaar sodra jy die vlag vind wat die verdoeseling uitskakel; ’n beskermde blob bly gesluit sonder die sleutel. Om die twee te verwar, laat mense soek na ’n dekodeerder wat nie bestaan nie.

Wat om te probeer terwyl die ou stelsel nog begin

As die installasie nog begin, voer die tonnels uit die kliënt uit terwyl jy aangemeld is as die rekening wat hulle geskep het. Die uitvoer lewer gewone konfigurasielêers, en dit is die punt waarop ’n rugsteun draagbaar word.

As die skyf leesbaar is maar Windows nie wil begin nie, is die beskermde lêers effektief verlore. Gereedskap wat belowe om hulle te herstel, loop óf in die oorspronklike konteks, wat jy nie meer het nie, óf vra jou om die blob en jou ou skyfbeeld te oorhandig, wat ’n besluit is om oor te stop.

Teken op wat jy leer, in elk geval: die tonnelname, die eindpunte en die publieke sleutels. Name en eindpunte laat jou vinnig herbou, en publieke sleutels laat die eweknie-kant identifiseer watter inskrywing verwyder moet word.

Herbou eerder van die eweknie se kant af

Vir ’n eweknie wat jy beheer, genereer ’n nuwe sleutelpaar en voeg die nuwe publieke sleutel by die eweknie-lys. Vir ’n korporatiewe of gehoste eindpunt, vra die administrateur om ’n nuwe sleutel uit te reik en die ou een te verwyder. Daardie versoek is dieselfde een wat jy ná ’n diefstal sou maak, want ’n verlore skyf beteken die ou private sleutel moet as blootgestel beskou word.

Herbou dan die tonnel uit die waardes wat jy opgeteken het, en bevestig die handshake voordat jy enigiets anders verwyder. Die ou inskrywing op die eweknie moet in dieselfde verandering verdwyn, sodat ’n gesteelde skyf later nie kan weer konnekteer nie.

Die les hoort in die rugsteunbeleid eerder as in ’n herstelprogram. ’n WireGuard-konfigurasie is ’n bewys: enigiemand wat die private sleutel hou, hou die eweknie se identiteit, en daar is geen tweede wagwoord in die pad nie. Voer óf die konfigurasie doelbewus uit en berg dit saam met jou ander geheime, óf aanvaar dat herstel die heruitreiking van sleutels beteken, en skryf neer watter keuse vir elke tonnel geld.