মৃত Windows পিসি থেকে WireGuard টানেল পুনরুদ্ধার করুন

একটি ল্যাপটপ তিনটি WireGuard টানেল কনফিগার করা অবস্থায় মারা যায়, আর কনফিগারেশন ফাইলগুলো তখনো ডিস্কে আছে। সেগুলো প্রতিস্থাপন মেশিনে কপি করলে এমন একটি সার্ভিস তৈরি হয় যা চালু হয়, তারপর ওঠাতে অস্বীকার করে। ফাইলগুলো যে অ্যাকাউন্ট ও মেশিন সেগুলো তৈরি করেছে তার কী দিয়ে সুরক্ষিত, তাই বাইট চলাচল করে, কিন্তু সেগুলো পড়ার ক্ষমতা করে না। নিচের ধাপে ধাপে আলোচনা ফাইল খুঁজে বের করা থেকে শুরু করে সত্যিই সার্ভিস পুনরুদ্ধারকারী বিকল্প পর্যন্ত যায়।

টানেল ফাইলটি এখন কোথায় থাকে

ভার্সনগুলোর মধ্যে স্টোরেজ বদলেছে। পুরোনো ইনস্টলেশন প্রোফাইলগুলো সিস্টেম প্রোফাইলের স্থানীয় অ্যাপ্লিকেশন ডেটায় WireGuard\Configurations ফোল্ডারে রাখত, আর বর্তমান বিল্ডগুলো প্রোগ্রাম ফাইল ট্রির ভেতরে একটি ডেটা ডিরেক্টরি ব্যবহার করে। প্রতিটি টানেল একক ফাইল, যার দ্বৈত এক্সটেনশন সুরক্ষার নাম বলে:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

.dpapi প্রত্যয়টি সাজসজ্জা নয়। ফাইলটি একটি সুরক্ষিত ব্লব, এবং সার্ভিসটি ঠিক সেই রূপেই তা গ্রহণ করার জন্য তৈরি। এটি থেকে টানেল ইনস্টল করার সমর্থিত উপায় হলো ব্লবের দিকে নির্দেশ করা একটি উন্নীত কল:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

সেই কমান্ডটি কেবল সেই কনটেক্সটেই সফল হয় যা ব্লবটি খুলতে পারে। এটি একটি সার্ভিস ইনস্টল করে; আপনার জন্য কিছু ডিক্রিপ্ট করে না।

কেন ব্লবটি অন্যত্র খোলে না

সুরক্ষাটি তার কী ব্যবহারকারীর লগইন ক্রেডেনশিয়াল থেকে এবং বেছে নেওয়া পরিধির উপর নির্ভর করে মেশিন থেকে নেয়। সুরক্ষা কলে Microsoft-এর ডকুমেন্টেশন বলে, ডিফল্টটি সেই ব্যবহারকারী ও মেশিনের যারা এটি এনক্রিপ্ট করেছে, আর মেশিন-ব্যাপী বিকল্প বদলে দেয় কে এটি খুলতে পারে। দুই ক্ষেত্রেই কীটি অপারেটিং সিস্টেমের ক্রেডেনশিয়াল উপাদানে থাকে, ফাইলের ভেতরে নয়। সাইফারটেক্সট বহনযোগ্য; কী নয়।

ফোল্ডারের মালিকানা নিলে একটি ACL বদলায়, আর কিছুই নয়। পুরোনো ডিস্কটি একটি এনক্লোজারে মাউন্ট করে ব্লবটি নতুন পিসিতে কপি করলে আপনার হাতে থাকে সাইফারটেক্সট, যার কী কখনো কপি হয়নি। ব্যর্থতাটি ক্রিপ্টোগ্রাফিক, এবং সার্ভিস পুনরায় ইনস্টল করার কোনো পরিমাণই তা বদলায় না। নতুন মেশিনে সেই অ্যাকাউন্টের কোনো মাস্টার কী নেই, আর পুরোনো কী স্টোর ফাইলের সঙ্গে চলে না।

যে পণ্যগুলো একটি অস্পষ্ট ফাইলে সেটিংস রাখে, তারা পার্থক্যটি স্পষ্ট করে দেয়। যে কনফিগারেশন শুধু অস্পষ্ট করা, অস্পষ্টতা বন্ধ করার ফ্ল্যাগ খুঁজে পেলেই তা পঠনযোগ্য হয়ে যায়; সুরক্ষিত ব্লব কিন্তু কী ছাড়া বন্ধই থাকে। দুটিকে গুলিয়ে ফেললে মানুষ এমন ডিকোডার খোঁজে যা নেই।

পুরোনো সিস্টেম এখনো বুট হওয়ার সময় কী চেষ্টা করবেন

ইনস্টলেশনটি এখনো চালু হলে, যে অ্যাকাউন্ট দিয়ে টানেলগুলো তৈরি হয়েছিল সেই অ্যাকাউন্টে সাইন ইন করা অবস্থায় ক্লায়েন্ট থেকে টানেলগুলো এক্সপোর্ট করুন। এক্সপোর্ট সাধারণ কনফিগারেশন ফাইল তৈরি করে, আর ঠিক তখনই ব্যাকআপ বহনযোগ্য হয়।

ডিস্কটি পঠনযোগ্য হলেও Windows বুট না হলে, সুরক্ষিত ফাইলগুলো কার্যত হারিয়ে গেছে। যেসব টুল সেগুলো পুনরুদ্ধারের প্রতিশ্রুতি দেয়, তারা হয় মূল কনটেক্সটে চলছে যা আর আপনার নেই, নয়তো আপনাকে ব্লব ও পুরোনো ডিস্ক ইমেজ দিতে বলছে, যা একটু থেমে ভাবার মতো সিদ্ধান্ত।

যা শিখলেন তা লিখে রাখুন, যেভাবেই হোক: টানেলের নাম, এন্ডপয়েন্ট এবং পাবলিক কী। নাম ও এন্ডপয়েন্ট দ্রুত পুনর্নির্মাণ করতে দেয়, আর পাবলিক কী দিয়ে পিয়ার দিক শনাক্ত করতে পারে কোন এন্ট্রি সরাতে হবে।

এর বদলে পিয়ার দিক থেকে পুনর্নির্মাণ করুন

আপনার নিয়ন্ত্রণে থাকা পিয়ারের জন্য নতুন কী জোড়া তৈরি করুন এবং নতুন পাবলিক কী পিয়ার তালিকায় যোগ করুন। কর্পোরেট বা হোস্টেড এন্ডপয়েন্টের জন্য প্রশাসককে নতুন কী জারি করে পুরোনোটি সরাতে বলুন। সেই অনুরোধ চুরির পরেও আপনি একই করতেন, কারণ হারানো ডিস্ক মানে পুরোনো প্রাইভেট কী প্রকাশিত হিসেবে ধরা উচিত।

তারপর আপনি যে মানগুলো লিখে রেখেছেন তা থেকে টানেল পুনর্নির্মাণ করুন এবং আর কিছু মুছুনার আগে হ্যান্ডশেক নিশ্চিত করুন। পিয়ারে পুরোনো এন্ট্রিটি একই পরিবর্তনে অদৃশ্য হওয়া উচিত, যাতে চুরি হওয়া ডিস্ক পরে আবার সংযোগ করতে না পারে।

শিক্ষাটি পুনরুদ্ধার টুলে নয়, ব্যাকআপ নীতিতে থাকা উচিত। WireGuard কনফিগারেশন একটি ক্রেডেনশিয়াল: যে প্রাইভেট কী ধরে রাখে সে পিয়ারের পরিচয় ধরে রাখে, আর পথে দ্বিতীয় কোনো পাসওয়ার্ড নেই। হয় সচেতনভাবে কনফিগারেশন এক্সপোর্ট করে আপনার অন্য গোপনীয় জিনিসের সঙ্গে রাখুন, নয়তো মেনে নিন যে পুনরুদ্ধার মানে কী পুনরায় জারি করা, আর লিখে রাখুন কোন পছন্দ কোন টানেলে প্রযোজ্য।