Adfer twneli WireGuard o PC Windows marw

Mae gliniadur yn marw gyda thri thwnel WireGuard wedi’u ffurfweddu, ac mae’r ffeiliau ffurfweddu’n dal ar y disg. Mae eu copïo i beiriant newydd yn cynhyrchu gwasanaeth sy’n cychwyn ac wedyn yn gwrthod codi. Mae’r ffeiliau wedi’u hamddiffyn ag allwedd sy’n perthyn i’r cyfrif a’r peiriant a’u creodd, felly mae’r bytau’n teithio ac nid yw’r gallu i’w darllen yn gwneud. Mae’r daith isod yn mynd o ddod o hyd i’r ffeil i’r opsiwn sy’n adfer y gwasanaeth mewn gwirionedd.

Lle mae ffeil y twnel yn byw nawr

Mae’r storfa wedi symud rhwng fersiynau. Roedd gosodiadau hŷn yn cadw proffiliau yn null data cymwysiadau lleol y proffil system o fewn ffolder WireGuard\Configurations, ac mae adeilediadau cyfredol yn defnyddio cyfeiriadur data y tu mewn i goeden ffeiliau’r rhaglen. Mae pob twnel yn un ffeil ag estyniad dwbl sy’n enwi’r amddiffyniad:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Nid addurn mo’r ôl-ddodiad .dpapi. Mae’r ffeil yn flob wedi’i amddiffyn, ac mae’r gwasanaeth wedi’i gynllunio i’w ddefnyddio yn union yn y ffurf honno. Y ffordd a gefnogir i osod twnel ohoni yw galwad uchel sy’n pwyntio at y blob:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Dim ond yn y cyd-destun sy’n gallu datgloi’r blob y mae’r gorchymyn hwnnw’n llwyddo. Mae’n gosod gwasanaeth; nid yw’n dadgryptio dim ar eich rhan.

Pam na fydd y blob yn agor yn unman arall

Mae’r amddiffyniad yn deillio ei allwedd o gymwysterau mewngofnodi’r defnyddiwr ac, yn dibynnu ar yr amrediad a ddewiswyd, o’r peiriant. Mae dogfennaeth Microsoft ar gyfer y galwad amddiffyn yn dweud bod y rhagosodiad yn perthyn i’r defnyddiwr a’r peiriant a’i hamgryptiodd, ac mae opsiwn ar gyfer y peiriant cyfan yn newid pwy all ei ddatgloi. Yn y ddau achos mae’r allwedd yn byw mewn deunydd cymwysterau’r system weithredu, nid y tu mewn i’r ffeil. Mae’r testun sifr yn gludadwy; nid yw’r allwedd.

Mae cymryd perchnogaeth o’r ffolder yn newid ACL a dim byd arall. Mae gosod y disg hen mewn cas a chopïo’r blob i PC newydd yn eich gadael â thestun sifr na chafodd ei allwedd ei chopïo erioed. Mae’r methiant yn un cryptograffig, ac nid yw unrhyw faint o ailosod y gwasanaeth yn ei newid. Nid oes gan y peiriant newydd unrhyw brif allwedd ar gyfer y cyfrif hwnnw, ac nid yw’r hen storfa allweddi yn teithio gyda’r ffeil.

Mae cynhyrchion sy’n storio gosodiadau mewn ffeil aneglur yn gwneud y gwrthgyferbyniad yn glir. Mae ffurfweddiad sydd ond wedi’i niwlio yn dod yn ddarllenadwy unwaith y byddwch yn dod o hyd i’r faner sy’n analluogi’r niwlio; mae blob wedi’i amddiffyn yn aros yn gaeëdig heb yr allwedd. Mae cymysgu’r ddau yn gwneud i bobl chwilio am ddatgodydd nad yw’n bodoli.

Beth i’w geisio tra bo’r hen system yn cychwyn o hyd

Os yw’r gosodiad yn dal i gychwyn, allforiwch y twneli o’r cleient tra byddwch wedi mewngofnodi fel y cyfrif a’u creodd. Mae’r allforiad yn cynhyrchu ffeiliau ffurfweddu cyffredin, a dyma’r pwynt lle mae copi wrth gefn yn dod yn gludadwy.

Os yw’r disg yn ddarllenadwy ond nad yw Windows yn cychwyn, mae’r ffeiliau wedi’u hamddiffyn i bob pwrpas ar goll. Mae’r offer sy’n addo’u hadfer naill ai’n rhedeg yn y cyd-destun gwreiddiol, nad oes gennych ef mwyach, neu’n gofyn i chi ildio’r blob a’ch delwedd disg hen, sy’n benderfyniad sy’n werth oedi drosto.

Cofnodwch yr hyn a ddysgwch naill ffordd neu’r llall: enwau’r twneli, y terfynbwyntiau a’r allweddi cyhoeddus. Mae enwau a therfynbwyntiau yn gadael i chi ailadeiladu’n gyflym, ac mae allweddi cyhoeddus yn gadael i’r ochr arall nodi pa gofnod i’w dynnu.

Ailadeiladwch o ochr y cymar yn lle hynny

Ar gyfer cymar yr ydych yn ei reoli, cynhyrchwch bâr allwedd newydd ac ychwanegwch yr allwedd gyhoeddus newydd at restr y cymar. Ar gyfer terfynbwynt corfforaethol neu westeiwyd, gofynnwch i’r gweinyddwr gyhoeddi allwedd newydd a dileu’r hen un. Mae’r cais hwnnw yr un fath â’r un y byddech yn ei wneud ar ôl lladrad, oherwydd mae disg coll yn golygu bod yn rhaid trin yr hen allwedd breifat fel un sydd wedi’i datgelu.

Yna ailadeiladwch y twnel o’r gwerthoedd a gofnodwyd gennych, a chadarnhewch yr ysgydwad llaw cyn i chi ddileu unrhyw beth arall. Dylai’r hen gofnod ar y cymar ddiflannu yn yr un newid, fel na all disg wedi’i ddwyn ailgysylltu’n hwyrach.

Mae’r wers yn perthyn i’r polisi copi wrth gefn yn hytrach nag i offeryn adfer. Mae ffurfweddiad WireGuard yn gymhwyster: pwy bynnag sy’n dal yr allwedd breifat sy’n dal hunaniaeth y cymar, ac nid oes ail gyfrinair yn y ffordd. Naill ai allforiwch y ffurfweddiad yn fwriadol a’i storio gyda’ch cyfrinachau eraill, neu derbyniwch fod adfer yn golygu ailddyroddi allweddi, ac ysgrifennwch pa ddewis sy’n berthnasol i bob twnel.