Өлгөн Windows компьютеринен WireGuard туннелдерин калыбына келтирүү

Ноутбук үч WireGuard туннели конфигурацияланган бойдон өлөт, ал эми конфигурация файлдары дагы эле дискте. Аларды алмаштыруучу машинага көчүрүү иштеп баштагандан кийин көтөрүлүүдөн баш тарткан кызматты жаратат. Файлдар аларды түзгөн аккаунт менен машинага таандык ачкыч менен корголгон, ошондуктан байттар жүрөт, ал эми аларды окуу мүмкүнчүлүгү жүрбөйт. Төмөнкү нускама файлды табуудан кызматты чындап калыбына келтирген вариантка чейин барат.

Туннель файлы азыр кайда жашайт

Сактоо орду чыгарылыштар арасында өзгөрдү. Эски орнотуулар профилдерди тутум профилинин жергиликтүү колдонмо дайындарында WireGuard\Configurations папкасынын астында кармаган, ал эми учурдагы курулуштар программа файлдарынын дарагынын ичиндеги дайындар каталогун колдонот. Ар бир туннель — коргоону атаган кош кеңейтүүсү бар бир файл:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

.dpapi уландысы жасалга эмес. Файл корголгон блоб, ал эми кызмат аны так ушундай формада керектөөгө ылайыкталган. Андан туннель орнотуунун колдоого алынган жолу — блобду көрсөткөн жогорулатылган чакыруу:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Бул команда блобду ача алган контекстте гана ийгиликтүү болот. Ал кызмат орнотот; сиздин ордуңузга эч нерсени чечмелей албайт.

Блоб эмне үчүн башка жерде ачылбайт

Коргоо ачкычын колдонуучунун кирүү дайындарынан жана тандалган камтууга жараша машинадан алат. Коргоо чакыруусу боюнча Microsoft документтери демейки маани аны шифрлеген колдонуучу менен машинага таандык экенин айтат, ал эми бүт машина боюнча параметр аны ким ача аларын өзгөртөт. Эки учурда тең ачкыч операциялык тутумдун дайындоо материалында жашайт, файлдын ичинде эмес. Шифрленген текст көчүрүлөт; ачкыч андай эмес.

Папкага ээлик кылуу ACLди өзгөртөт, башка эч нерсени эмес. Эски дискти кутучага салып, блобду жаңы компьютерге көчүрүү сизге ачкычы эч качан көчүрүлбөгөн шифрленген текстти калтырат. Ката криптографиялык, жана кызматты канча жолу кайра орнотсоңуз да ал өзгөрбөйт. Жаңы машинада ал аккаунт үчүн башкы ачкыч жок, ал эми эски ачкыч кампасы файл менен бирге жүрбөйт.

Жөндөөлөрдү бүдөмүк файлда сактаган продуктылар карама-каршылыкты ачык көрсөтөт. Жөн гана бүдөмүктөштүрүлгөн конфигурация бүдөмүктөштүрүүнү өчүргөн желекти тапканда окулуучу болот; корголгон блоб ачкычсыз жабык бойдон калат. Экөөнү аралаштыруу адамдарды жок декодерди издөөгө жиберет.

Эски тутум дагы эле жүктөлүп жатканда эмнени сынап көрүү керек

Эгер орнотуу дагы эле башталса, туннелдерди аларды түзгөн аккаунт менен кирген бойдон кардардан экспорттогула. Экспорт кадимки конфигурация файлдарын жасайт, жана дал ошол учурда камдык көчүрмө көчүрүлүүчү болот.

Эгер диск окулуучу болсо, бирок Windows жүктөлбөсө, корголгон файлдар иш жүзүндө жоголгон. Аларды калыбына келтирүүгө убада берген куралдар же сизде эми жок болгон баштапкы контекстте иштейт, же сизден блобду жана эски диск сүрөтүңүздү берүүнү суранат, бул — токтоп ойлонууга татыктуу чечим.

Эмнени үйрөнгөнүңүздү эки учурда тең жазып алыңыз: туннелдердин аттарын, акыркы чекиттерди жана ачык ачкычтарды. Аттар жана акыркы чекиттер тез кайра курууга мүмкүндүк берет, ал эми ачык ачкычтар каршы тарапка кайсы жазууну алып салуу керектигин аныктоого мүмкүндүк берет.

Анын ордуна каршы тараптан кайра куруңуз

Өзүңүз көзөмөлдөгөн каршы тарап үчүн жаңы ачкыч жупун түзүп, жаңы ачык ачкычты каршы тараптын тизмесине кошуңуз. Корпоративдик же хостингдик акыркы чекит үчүн администратордон жаңы ачкыч берүүнү жана эскисин алып салууну сураңыз. Бул суроо — уурдоодон кийин бере турган суроонун дал өзү, анткени жоголгон диск эски жеке ачкычты ачыкка чыккан деп эсептөө керектигин билдирет.

Андан кийин туннелди жазып алган баалуулуктардан кайра куруңуз жана башка нерсени өчүрүүдөн мурун кол алышууну ырастаңыз. Каршы тараптагы эски жазуу ошол эле өзгөртүүдө жок болушу керек, ошондо уурдалган диск кийин кайра туташа албайт.

Сабак калыбына келтирүү куралына эмес, камдык көчүрмө саясатына таандык. WireGuard конфигурациясы — дайындоо: жеке ачкычты кармаган адам каршы тараптын инсандыгын кармайт, жана жолдо экинчи сырсөз жок. Же конфигурацияны атайын экспорттоп, аны башка сырларыңыз менен бирге сактаңыз, же калыбына келтирүү ачкычтарды кайра берүүнү билдирерин кабыл алып, кайсы тандоо кайсы туннелге тиешелүү экенин жазып коюңуз.