Memulihkan tunnel WireGuard dari PC Windows yang mati

Sebuah laptop mati dengan tiga tunnel WireGuard terkonfigurasi, dan file konfigurasinya masih ada di disk. Menyalinnya ke mesin pengganti menghasilkan layanan yang mulai lalu menolak naik. File-file itu dilindungi dengan kunci milik akun dan mesin yang membuatnya, jadi byte-nya berpindah dan kemampuan membacanya tidak. Panduan di bawah berjalan dari menemukan file hingga opsi yang benar-benar memulihkan layanan.

Di mana file tunnel itu sekarang

Penyimpanan telah berpindah antar rilis. Instalasi lama menyimpan profil di data aplikasi lokal profil sistem dalam folder WireGuard\Configurations, dan build saat ini memakai direktori data di dalam pohon file program. Setiap tunnel adalah satu file dengan ekstensi ganda yang menamai perlindungannya:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Akhiran .dpapi bukan hiasan. File itu adalah blob yang dilindungi, dan layanan dirancang untuk mengonsumsinya persis dalam bentuk itu. Cara yang didukung untuk memasang tunnel darinya adalah panggilan yang ditinggikan yang menunjuk ke blob:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Perintah itu hanya berhasil dalam konteks yang dapat membuka blob. Perintah itu memasang layanan; ia tidak mendekripsi apa pun untuk Anda.

Mengapa blob tidak terbuka di tempat lain

Perlindungan menurunkan kuncinya dari kredensial masuk pengguna dan, tergantung cakupan yang dipilih, dari mesin. Dokumentasi Microsoft untuk panggilan perlindungan menyatakan bahwa default milik pengguna dan mesin yang mengenkripsinya, dan opsi seluruh mesin mengubah siapa yang boleh membukanya. Dalam kedua kasus kunci hidup dalam materi kredensial sistem operasi, bukan di dalam file. Teks sandi itu portabel; kuncinya tidak.

Mengambil alih kepemilikan folder mengubah ACL dan tidak lebih. Memasang disk lama di enclosure dan menyalin blob ke PC baru meninggalkan Anda dengan teks sandi yang kuncinya tidak pernah disalin. Kegagalannya kriptografis, dan berapa kali pun layanan dipasang ulang tidak mengubahnya. Mesin baru tidak punya kunci induk untuk akun itu, dan penyimpanan kunci lama tidak ikut berpindah bersama file.

Produk yang menyimpan pengaturan dalam file terselubung membuat kontrasnya jelas. Konfigurasi yang hanya diobfuskasi menjadi terbaca begitu Anda menemukan tanda yang mematikan obfuskasi; blob yang dilindungi tetap tertutup tanpa kunci. Mencampuradukkan keduanya membuat orang mencari dekoder yang tidak ada.

Apa yang bisa dicoba selama sistem lama masih boot

Jika instalasi masih mulai, ekspor tunnel dari klien saat Anda masuk sebagai akun yang membuatnya. Ekspor menghasilkan file konfigurasi biasa, dan pada titik itulah cadangan menjadi portabel.

Jika disk bisa dibaca tetapi Windows tidak mau boot, file yang dilindungi itu efektifnya hilang. Alat yang menjanjikan pemulihannya entah berjalan di konteks asli yang sudah tidak Anda miliki, atau meminta Anda menyerahkan blob dan image disk lama Anda, yang merupakan keputusan yang layak untuk dihentikan sebentar.

Catat apa yang Anda pelajari dalam kedua kasus: nama tunnel, endpoint, dan kunci publik. Nama dan endpoint memungkinkan Anda membangun ulang dengan cepat, dan kunci publik memungkinkan sisi peer mengenali entri mana yang harus dihapus.

Bangun ulang dari sisi peer saja

Untuk peer yang Anda kendalikan, buat pasangan kunci baru dan tambahkan kunci publik baru ke daftar peer. Untuk endpoint korporat atau terkelola, minta administrator menerbitkan kunci baru dan menghapus yang lama. Permintaan itu sama dengan yang akan Anda ajukan setelah pencurian, karena disk yang hilang berarti kunci privat lama harus dianggap terbuka.

Lalu bangun ulang tunnel dari nilai yang Anda catat, dan konfirmasi handshake sebelum menghapus apa pun yang lain. Entri lama di peer seharusnya hilang dalam perubahan yang sama, agar disk yang dicuri tidak bisa menyambung lagi nanti.

Pelajaran itu masuk ke kebijakan cadangan, bukan ke alat pemulihan. Konfigurasi WireGuard adalah kredensial: siapa pun yang memegang kunci privat memegang identitas peer, dan tidak ada kata sandi kedua di tengah jalan. Entah ekspor konfigurasi dengan sengaja dan simpan bersama rahasia Anda yang lain, atau terima bahwa pemulihan berarti menerbitkan ulang kunci, lalu tuliskan pilihan mana yang berlaku untuk tiap tunnel.