Як аднавіць тунелі WireGuard з непрацаздольнага камп’ютара Windows

Ноўтбук выходзіць з ладу з трыма наладжанымі тунелямі WireGuard, а файлы канфігурацыі ўсё яшчэ на дыску. Капіяванне іх на заменную машыну стварае службу, якая запускаецца і потым адмаўляецца падымацца. Файлы абаронены ключом, які належыць уліковаму запісу і машыне, што іх стварылі, таму байты падарожнічаюць, а здольнасць іх чытаць — не. Ніжэйшае праходжанне вядзе ад пошуку файла да варыянта, які сапраўды аднаўляе службу.

Дзе цяпер ляжыць файл тунеля

Месца захавання мянялася паміж выпускамі. Старэйшыя ўсталёўкі трымалі профілі ў лакальных даных праграм сістэмнага профілю ў папцы WireGuard\Configurations, а бягучыя зборкі выкарыстоўваюць каталог даных унутры дрэва файлаў праграмы. Кожны тунель — адзін файл з падвойным пашырэннем, якое называе абарону:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Суфікс .dpapi — не ўпрыгожанне. Файл — гэта абаронены блоб, і служба разлічана спажываць яго менавіта ў такой форме. Падтрыманы спосаб усталяваць з яго тунель — гэта выклік з павышэннем правоў, які паказвае на блоб:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Гэтая каманда ўдаецца толькі ў кантэксце, які можа распакаваць блоб. Яна ўсталёўвае службу; яна нічога не расшыфроўвае за вас.

Чаму блоб не адкрываецца ў іншым месцы

Абарона выводзіць свой ключ з уліковых даных карыстальніка і, у залежнасці ад абранага абсягу, з машыны. Дакументацыя Microsoft для выкліку абароны гаворыць, што прадвызначаны рэжым належыць карыстальніку і машыне, якія зашыфравалі файл, а агульнамашынны варыянт змяняе, хто можа яго распакаваць. У абодвух выпадках ключ жыве ў матэрыялах уліковых даных аперацыйнай сістэмы, а не ўнутры файла. Шыфратэкст пераносны; ключ — не.

Атрыманне ўласнасці на папку змяняе ACL і больш нічога. Мантаванне старога дыска ў корпусе і капіяванне блоба на новы камп’ютар пакідае вам шыфратэкст, ключ якога ніколі не капіявалі. Збой крыптаграфічны, і ніякая колькасць пераўсталёвак службы яго не зменіць. Новая машына не мае галоўнага ключа для таго ўліковага запісу, а старое сховішча ключоў не падарожнічае разам з файлам.

Прадукты, якія захоўваюць налады ў зацёмненым файле, робяць кантраст відавочным. Канфігурацыя, якая проста затуманена, становіцца чытэльнай, калі вы знойдзеце сцяг, што адключае затуманванне; абаронены блоб застаецца закрытым без ключа. Блытанне гэтых двух прымушае людзей шукаць дэкодэр, якога не існуе.

Што паспрабаваць, пакуль старая сістэма яшчэ загружаецца

Калі ўсталёўка яшчэ запускаецца, экспартуйце тунелі з кліента, увайшоўшы як уліковы запіс, што іх стварыў. Экспарт стварае звычайныя файлы канфігурацыі, і менавіта ў гэты момант рэзервовая копія робіцца пераноснай.

Калі дыск чытэльны, але Windows не загружаецца, абароненыя файлы фактычна страчаны. Інструменты, якія абяцаюць іх аднавіць, альбо працуюць у арыгінальным кантэксце, якога ў вас болей няма, альбо просяць аддаць блоб і вобраз старога дыска, што з’яўляецца рашэннем, над якім варта спыніцца.

Запішыце тое, што даведаецеся, у любым выпадку: назвы тунеляў, канчатковыя пункты і публічныя ключы. Назвы і канчатковыя пункты дазваляюць хутка перабудаваць, а публічныя ключы дазваляюць пары вызначыць, які запіс выдаліць.

Перабудаваць з боку пары замест гэтага

Для пары, якой вы кіруеце, згенеруйце новую пару ключоў і дадайце новы публічны ключ у спіс пары. Для карпаратыўнага або хостнага канчатковага пункта папрасіце адміністратара выдаць новы ключ і выдаліць стары. Гэта просьба — тая самая, якую вы зрабілі б пасля крадзяжу, бо страчаны дыск азначае, што стары прыватны ключ трэба лічыць выкрытым.

Затым перабудуйце тунель з запісаных значэнняў і пацвердзіце рукапоціск, перш чым выдаляць што-небудзь яшчэ. Стары запіс на пары павінен знікнуць у тым жа змяненні, каб украдзены дыск не мог пазней падключыцца.

Урок належыць палітыцы рэзервовага капіявання, а не інструменту аднаўлення. Канфігурацыя WireGuard — гэта ўліковыя даныя: той, хто трымае прыватны ключ, трымае асобу пары, і на шляху няма другога пароля. Альбо свядома экспартуйце канфігурацыю і захоўвайце яе з іншымі сакрэтамі, альбо прыміце, што аднаўленне азначае перавыдачу ключоў, і запішыце, які выбар тычыцца кожнага тунеля.