Վերականգնել WireGuard թունելները մեռած Windows համակարգչից

Նոութբուքը մահանում է երեք կարգավորված WireGuard թունելով, և կոնֆիգուրացիայի ֆայլերը դեռ սկավառակի վրա են։ Դրանք փոխարինող մեքենա պատճենելը ստեղծում է ծառայություն, որը մեկնարկում է և հետո հրաժարվում բարձրանալ։ Ֆայլերը պաշտպանված են բանալիով, որը պատկանում է դրանք ստեղծած հաշվին և մեքենային, այնպես որ բայթերը ճամփորդում են, իսկ դրանք կարդալու ունակությունը՝ ոչ։ Ստորև ուղեցույցը գնում է ֆայլը գտնելուց մինչև այն տարբերակը, որն իսկապես վերականգնում է ծառայությունը։

Որտեղ է հիմա ապրում թունելի ֆայլը

Պահոցը տեղափոխվել է տարբերակների միջև։ Ավելի հին տեղադրումները պրոֆիլները պահում էին համակարգի պրոֆիլի տեղական հավելվածային տվյալներում՝ WireGuard\Configurations պանակի ներքո, իսկ ընթացիկ կառուցումները օգտագործում են տվյալների գրացուցակ ծրագրի ֆայլերի ծառի ներսում։ Յուրաքանչյուր թունել մեկ ֆայլ է՝ կրկնակի ընդլայնմամբ, որը անվանում է պաշտպանությունը։

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

.dpapi վերջածանցը զարդարանք չէ։ Ֆայլը պաշտպանված բլոբ է, և ծառայությունը նախագծված է այն սպառելու հենց այդ ձևով։ Դրանից թունել տեղադրելու աջակցվող եղանակը բարձրացված կանչն է, որը մատնանշում է բլոբին։

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Այդ հրամանը հաջողվում է միայն այն համատեքստում, որը կարող է բացել բլոբը։ Այն տեղադրում է ծառայություն, բայց ձեր փոխարեն ոչինչ չի ապակոդավորում։

Ինչու բլոբը չի բացվում այլ տեղ

Պաշտպանությունը բանալին ստանում է օգտատիրոջ մուտքի հավատարմագրերից և, կախված ընտրված շրջանակից, մեքենայից։ Microsoft-ի փաստաթղթերը պաշտպանական կանչի մասին ասում են, որ լռելյայնը պատկանում է այն օգտատիրոջը և մեքենային, որոնք գաղտնագրել են այն, և մեքենայի մակարդակի ընտրանքը փոխում է, թե ով կարող է բացել այն։ Երկու դեպքում էլ բանալին ապրում է օպերացիոն համակարգի հավատարմագրային նյութում, ոչ թե ֆայլի ներսում։ Գաղտնագրված տեքստը շարժական է, բանալին՝ ոչ։

Պանակի նկատմամբ սեփականություն վերցնելը փոխում է ACL-ը և ուրիշ ոչինչ։ Հին սկավառակը պատյանում տեղադրելը և բլոբը նոր համակարգիչ պատճենելը ձեզ թողնում է գաղտնագրված տեքստ, որի բանալին երբեք չի պատճենվել։ Խափանումը գաղտնագրային է, և ծառայության ոչ մի վերատեղադրում այն չի փոխում։ Նոր մեքենան այդ հաշվի համար գլխավոր բանալի չունի, և հին բանալիների պահոցը ֆայլի հետ չի ճամփորդում։

Այն ապրանքները, որոնք կարգավորումները պահում են աղոտ ֆայլում, հստակեցնում են հակադրությունը։ Միայն աղոտված կոնֆիգուրացիան ընթեռնելի է դառնում, հենց որ գտնեք աղոտումն անջատող դրոշը, մինչդեռ պաշտպանված բլոբը փակ է մնում առանց բանալու։ Երկուսը շփոթելը մարդկանց ուղարկում է փնտրելու ապակոդավորիչ, որը գոյություն չունի։

Ինչ փորձել, մինչ հին համակարգը դեռ բեռնվում է

Եթե տեղադրումը դեռ մեկնարկում է, արտահանեք թունելները հաճախորդից՝ մուտք գործած լինելով որպես այն հաշիվը, որը ստեղծել է դրանք։ Արտահանումը ստեղծում է սովորական կոնֆիգուրացիայի ֆայլեր, և հենց այդ պահին է պահուստը դառնում շարժական։

Եթե սկավառակը ընթեռնելի է, բայց Windows-ը չի բեռնվում, պաշտպանված ֆայլերը փաստացի կորած են։ Գործիքները, որոնք խոստանում են վերականգնել դրանք, կա՛մ աշխատում են սկզբնական համատեքստում, որն այլևս չունեք, կա՛մ խնդրում են ձեզ հանձնել բլոբը և ձեր հին սկավառակի պատկերը, ինչը որոշում է, որի վրա արժե կանգ առնել։

Գրանցեք, ինչ սովորում եք, ամեն դեպքում՝ թունելների անունները, վերջնակետերը և հանրային բանալիները։ Անուններն ու վերջնակետերը թույլ են տալիս արագ վերակառուցել, իսկ հանրային բանալիները թույլ են տալիս մյուս կողմին ճանաչել, թե որ գրառումը հանել։

Փոխարենը վերակառուցեք զուգընկերոջ կողմից

Ձեր կողմից կառավարվող զուգընկերոջ համար ստեղծեք նոր բանալիների զույգ և ավելացրեք նոր հանրային բանալին զուգընկերոջ ցուցակում։ Կորպորատիվ կամ հոսթինգային վերջնակետի համար խնդրեք ադմինիստրատորին թողարկել նոր բանալի և հեռացնել հինը։ Այդ հարցումը նույնն է, որը կանեիք գողությունից հետո, որովհետև կորած սկավառակը նշանակում է, որ հին մասնավոր բանալին պետք է համարվի բացահայտված։

Այնուհետև վերակառուցեք թունելը ձեր գրանցած արժեքներից, և հաստատեք ձեռքսեղմումը նախքան որևէ այլ բան ջնջելը։ Զուգընկերոջ մոտ հին գրառումը պետք է անհետանա նույն փոփոխության մեջ, որպեսզի գողացված սկավառակը հետագայում չկարողանա նորից միանալ։

Դասը պատկանում է պահուստավորման քաղաքականությանը, ոչ թե վերականգնման գործիքին։ WireGuard-ի կոնֆիգուրացիան հավատարմագիր է՝ ով պահում է մասնավոր բանալին, պահում է զուգընկերոջ ինքնությունը, և ճանապարհին երկրորդ գաղտնաբառ չկա։ Կա՛մ միտումնավոր արտահանեք կոնֆիգուրացիան և պահեք այն ձեր մյուս գաղտնիքների հետ, կա՛մ ընդունեք, որ վերականգնումը նշանակում է բանալիների վերաթողարկում, և գրեք, թե որ ընտրությունն է վերաբերում յուրաքանչյուր թունելին։