WireGuard-tunnels werombringe fan in deade Windows-pc

In laptop stjert mei trije konfigurearre WireGuard-tunnels, en de konfiguraasjebestanden steane noch op de skiif. Se nei in ferfangende masine kopiearje jout in tsjinst dy’t start en dan wegeret om op te kommen. De bestannen binne beskerme mei in kaai dy’t ta it akkount en de masine heart dy’t se makke hat, dus de bytes reizgje en it fermogen om se te lêzen net. De trochgong hjirûnder giet fan it finen fan it bestân oant de opsje dy’t de tsjinst echt werombringt.

Wêr’t it tunnelbestân no wennet

De opslach is tusken útjeften ferskood. Aldere ynstallaasjes holden profylen yn ’e lokale applikaasjegegevens fan it systeemprofyl ûnder in map WireGuard\Configurations, en hjoeddeiske builds brûke in datamap binnen de beam fan programmabestanden. Elke tunnel is ien bestân mei in dûbele útwreiding dy’t de beskerming neamt:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

De útgong .dpapi is gjin fersiering. It bestân is in beskerme blob, en de tsjinst is ûntwurpen om it krekt yn dy foarm te ferbrûken. De stipe manier om dêr in tunnel út te ynstallearjen is in ferhege oprop dy’t nei de blob wiist:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Dat kommando slagget allinnich yn ’e kontekst dy’t de blob iepenje kin. It ynstallearret in tsjinst; it ûntsiferet neat foar jo.

Wêrom’t de blob earne oars net iepengiet

De beskerming lûkt syn kaai út ’e oanmeldgegevens fan ’e brûker en, ôfhinklik fan ’e keazen omfang, út ’e masine. De dokumintaasje fan Microsoft foar de beskermingsoprop seit dat de standert ta de brûker en masine heart dy’t it fersifere hat, en in masinebrede opsje feroaret wa’t it iepenje mei. Yn beide gefallen wennet de kaai yn it oanmeldmateriaal fan it bestjoeringssysteem, net yn it bestân. De sifere tekst is ferpleatsber; de kaai net.

Eigendom fan ’e map oernimme feroaret in ACL en fierders neat. De âlde skiif yn in húskast montearje en de blob nei in nije pc kopiearje lit jo sifere tekst efter wêrfan’t de kaai nea kopiearre is. De flater is kryptografysk, en gjin inkel opnij ynstallearjen fan ’e tsjinst feroaret dat. De nije masine hat gjin haadkaai foar dat akkount, en it âlde kaaiopslach reizget net mei it bestân.

Produkten dy’t ynstellingen yn in fertroebele bestân bewarje, meitsje it kontrast dúdlik. In konfiguraasje dy’t allinnich obfuskearre is, wurdt lêsber sadree’t jo de flagge fine dy’t de obfuskatie útskeakelet; in beskerme blob bliuwt ticht sûnder de kaai. It trochinoar heljen fan ’e beide lit minsken sykje nei in dekoder dy’t net bestiet.

Wat te besykjen wylst it âlde systeem noch boot

As de ynstallaasje noch start, eksportearje dan de tunnels út ’e klient wylst jo oanmeld binne as it akkount dat se makke hat. De eksport makket gewoane konfiguraasjebestanden, en dat is it punt wêrop’t in reservekopy ferpleatsber wurdt.

As de skiif lêsber is mar Windows boot net, binne de beskerme bestannen feitlik ferlern. Ark dat belooft se werom te bringen draait of yn ’e oarspronklike kontekst, dy’t jo net mear hawwe, of freget jo de blob en jo âlde skiifbyld oer te jaan, wat in beslút is om by stil te stean.

Skriuw op wat jo leare, yn beide gefallen: de tunnelnammen, de einpunten en de iepenbiere kaaien. Nammen en einpunten litte jo fluch weropbouwe, en iepenbiere kaaien litte de oare kant útmakke hokker ynfier fuort moat.

Bou it leaver wer op fan ’e kant fan ’e partner

Foar in partner dy’t jo beheare, meitsje in nij kaaispear oan en foegje de nije iepenbiere kaai ta oan ’e list fan ’e partner. Foar in bedriuws- of hoste einpunt freegje de behearder om in nije kaai út te jaan en de âlde fuort te heljen. Dat fersyk is itselde dat jo nei in dieverij dwaan soene, want in ferlerne skiif betsjut dat de âlde priveekaai as bleatlein behannele wurde moat.

Bou dan de tunnel wer op út ’e wearden dy’t jo opskreaun hawwe, en befêstigje de hânskodding foardat jo eat oars fuorthelje. De âlde ynfier by de partner moat yn deselde feroaring ferdwine, sadat in stellen skiif letter net wer ferbine kin.

De les heart yn it reservekopybelied en net yn in werombringark. In WireGuard-konfiguraasje is in oanmeldgegeven: wa’t de priveekaai hat, hat de identiteit fan ’e partner, en der is gjin twadde wachtwurd yn ’e wei. Eksportearje de konfiguraasje bewust en bewarje him by jo oare geheimsinnichheden, of akseptearje dat werombringen it opnij útjaan fan kaaien betsjut, en skriuw op hokker kar foar elke tunnel jildt.