استعادة أنفاق WireGuard من حاسوب Windows معطّل

حاسوب محمول يتعطّل مع ثلاثة أنفاق WireGuard مهيأة، وملفات التهيئة ما زالت على القرص. نسخها إلى جهاز بديل ينتج خدمة تبدأ ثم ترفض الإقلاع. الملفات محمية بمفتاح يخص الحساب والجهاز اللذين أنشأها، فالبايتات تنتقل أما القدرة على قراءتها فلا. ينتقل الشرح أدناه من تحديد موقع الملف إلى الخيار الذي يستعيد الخدمة فعلاً.

أين يعيش ملف النفق الآن

تغيّر مكان التخزين بين الإصدارات. احتفظت التثبيتات الأقدم بالملفات الشخصية في بيانات التطبيقات المحلية الخاصة بملف النظام ضمن مجلد WireGuard\Configurations، أما البنيات الحالية فتستخدم مجلد بيانات داخل شجرة ملفات البرنامج. كل نفق ملف واحد بامتداد مزدوج يسمّي الحماية:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

اللاحقة .dpapi ليست زينة. الملف كتلة محمية، والخدمة مصممة لاستهلاكه بهذه الصورة بالضبط. الطريقة المدعومة لتثبيت نفق منه هي استدعاء مرفوع يشير إلى الكتلة:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

ينجح ذلك الأمر فقط في السياق القادر على فك الكتلة. إنه يثبّت خدمة؛ ولا يفك تشفير أي شيء نيابة عنك.

لماذا لا تُفتح الكتلة في مكان آخر

تستمد الحماية مفتاحها من بيانات اعتماد تسجيل دخول المستخدم، ومن الجهاز حسب النطاق المختار. تقول وثائق Microsoft لاستدعاء الحماية إن الوضع الافتراضي يخص المستخدم والجهاز اللذين شفّرا الملف، وإن خياراً على مستوى الجهاز يغيّر من يحق له فكّه. في الحالتين يعيش المفتاح في مواد اعتماد نظام التشغيل، لا داخل الملف. النص المشفّر قابل للنقل؛ والمفتاح ليس كذلك.

أخذ ملكية المجلد يغيّر قائمة التحكم بالوصول ولا شيء آخر. تركيب القرص القديم في علبة ونسخ الكتلة إلى حاسوب جديد يتركك بنص مشفّر لم يُنسخ مفتاحه قط. الفشل تشفيري، ولا يغيّره أي قدر من إعادة تثبيت الخدمة. لا يملك الجهاز الجديد مفتاحاً رئيسياً لذلك الحساب، ومخزن المفاتيح القديم لا يسافر مع الملف.

المنتجات التي تخزّن الإعدادات في ملف مموّه توضح التباين. التهيئة التي جرى تعميتها فقط تصبح مقروءة بمجرد أن تجد العلامة التي تعطّل التعمية؛ أما الكتلة المحمية فتبقى مغلقة دون المفتاح. الخلط بين الاثنين يدفع الناس للبحث عن فاكّ ترميز غير موجود.

ما يمكن تجربته بينما النظام القديم ما زال يقلع

إن كان التثبيت ما زال يبدأ، فصدّر الأنفاق من العميل وأنت مسجّل الدخول بالحساب الذي أنشأها. ينتج التصدير ملفات تهيئة عادية، وعند هذه النقطة تصبح النسخة الاحتياطية قابلة للنقل.

إن كان القرص مقروءاً لكن Windows لا يقلع، فالملفات المحمية ضائعة فعلياً. الأدوات التي تَعِد باستعادتها إما أنها تعمل في السياق الأصلي الذي لم يعد لديك، أو تطلب منك تسليم الكتلة وصورة قرصك القديم، وهو قرار يستحق التوقف عنده.

سجّل ما تتعلمه في كل الحالات: أسماء الأنفاق ونقاط النهاية والمفاتيح العامة. الأسماء ونقاط النهاية تتيح لك إعادة البناء بسرعة، والمفاتيح العامة تتيح للطرف النظير تحديد أي إدخال يجب حذفه.

أعد البناء من جهة النظير بدلاً من ذلك

بالنسبة لنظير تتحكم به، ولّد زوج مفاتيح جديداً وأضف المفتاح العام الجديد إلى قائمة النظير. وبالنسبة لنقطة نهاية مؤسسية أو مستضافة، اطلب من المسؤول إصدار مفتاح جديد وحذف القديم. هذا الطلب هو نفسه الذي ستقدمه بعد سرقة، لأن القرص المفقود يعني أن المفتاح الخاص القديم يجب اعتباره مكشوفاً.

ثم أعد بناء النفق من القيم التي سجّلتها، وتأكد من المصافحة قبل أن تحذف أي شيء آخر. يجب أن يختفي الإدخال القديم على النظير في التغيير نفسه، حتى لا يستطيع قرص مسروق إعادة الاتصال لاحقاً.

الدرس ينتمي إلى سياسة النسخ الاحتياطي لا إلى أداة استعادة. تهيئة WireGuard هي بيانات اعتماد: من يحمل المفتاح الخاص يحمل هوية النظير، ولا توجد كلمة مرور ثانية في الطريق. إما أن تصدّر التهيئة عمداً وتخزنها مع أسرارك الأخرى، أو تقبل أن الاستعادة تعني إعادة إصدار المفاتيح، وتكتب أي الخيارين ينطبق على كل نفق.