„WireGuard“ tunelių atkūrimas iš negyvo „Windows“ kompiuterio

Nešiojamas kompiuteris miršta su trimis sukonfigūruotais „WireGuard“ tuneliais, o konfigūracijos failai vis dar yra diske. Juos nukopijavus į pakaitinę mašiną gaunama paslauga, kuri paleidžiama ir tada atsisako kilti. Failai apsaugoti raktu, priklausančiu paskyrai ir mašinai, kurios juos sukūrė, todėl baitai keliauja, o galimybė juos skaityti ne. Toliau pateiktas vadovas eina nuo failo radimo iki parinkties, kuri iš tiesų atkuria paslaugą.

Kur dabar gyvena tunelio failas

Saugojimo vieta tarp versijų keitėsi. Senesnės instaliacijos profilį laikydavo sistemos profilio vietiniuose programų duomenyse, aplanke WireGuard\Configurations, o dabartinės versijos naudoja duomenų katalogą programos failų medyje. Kiekvienas tunelis yra vienas failas su dvigubu plėtiniu, įvardijančiu apsaugą:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Priesaga .dpapi nėra puošmena. Failas yra apsaugotas blobas, o paslauga sukurta jį vartoti būtent tokia forma. Palaikomas būdas įdiegti tunelį iš jo yra pakeltas kvietimas, nukreiptas į blobą:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Ta komanda pavyksta tik toje aplinkoje, kuri gali išpakuoti blobą. Ji įdiegia paslaugą; ji nieko už jus neatšifruoja.

Kodėl blobas neatsidaro kitur

Apsauga raktą išveda iš naudotojo prisijungimo duomenų ir, priklausomai nuo pasirinktos apimties, iš mašinos. „Microsoft“ dokumentacija apie apsaugos kvietimą sako, kad numatytasis priklauso naudotojui ir mašinai, kurie jį užšifravo, o visos mašinos parinktis keičia, kas gali jį išpakuoti. Abiem atvejais raktas gyvena operacinės sistemos prisijungimo duomenų medžiagoje, o ne faile. Šifrotekstas yra perkeliamas; raktas ne.

Aplanko nuosavybės perėmimas pakeičia ACL ir nieko daugiau. Seną diską įdėjus į dėklą ir nukopijavus blobą į naują kompiuterį lieka šifrotekstas, kurio raktas niekada nebuvo nukopijuotas. Gedimas yra kriptografinis, ir joks paslaugos perdiegimas jo nepakeis. Naujoji mašina neturi pagrindinio rakto tai paskyrai, o sena raktų saugykla nekeliauja su failu.

Produktai, laikantys nustatymus neryškaus failo, aiškiai parodo skirtumą. Konfigūracija, kuri tik užmaskuota, tampa skaitoma radus vėliavėlę, kuri išjungia maskavimą; apsaugotas blobas be rakto lieka uždarytas. Sumaišius abu, žmonės ieško dekoderio, kurio nėra.

Ką išbandyti, kol senoji sistema dar kraunasi

Jei instaliacija dar paleidžiama, eksportuokite tunelius iš kliento būdami prisijungę kaip paskyra, kuri juos sukūrė. Eksportas sukuria įprastus konfigūracijos failus, ir būtent tada atsarginė kopija tampa perkeliama.

Jei diskas skaitomas, bet „Windows“ nesikrauna, apsaugoti failai iš esmės prarasti. Įrankiai, žadantys juos atkurti, arba veikia pradinėje aplinkoje, kurios jau neturite, arba prašo perduoti blobą ir seno disko atvaizdą, o tai sprendimas, prie kurio verta sustoti.

Užsirašykite, ką sužinosite, abiem atvejais: tunelių pavadinimus, galinius taškus ir viešuosius raktus. Pavadinimai ir galiniai taškai leidžia greitai atstatyti, o viešieji raktai leidžia kitai pusei nustatyti, kurį įrašą pašalinti.

Atstatykite geriau iš kitos pusės

Jei kitą pusę valdote jūs, sugeneruokite naują raktų porą ir pridėkite naują viešąjį raktą į kitos pusės sąrašą. Jei tai įmonės ar prieglobos galinis taškas, paprašykite administratoriaus išduoti naują raktą ir pašalinti senąjį. Tas prašymas yra toks pat, kokį pateiktumėte po vagystės, nes prarastas diskas reiškia, kad senasis privatusis raktas turi būti laikomas atskleistas.

Tada atstatykite tunelį iš užrašytų reikšmių ir patvirtinkite rankos paspaudimą, prieš ką nors kitą ištrindami. Senas įrašas kitoje pusėje turėtų išnykti tame pačiame pakeitime, kad pavogtas diskas vėliau negalėtų vėl prisijungti.

Pamoka priklauso atsarginių kopijų politikai, o ne atkūrimo įrankiui. „WireGuard“ konfigūracija yra prisijungimo duomuo: kas turi privatųjį raktą, tas turi kitos pusės tapatybę, ir kelyje nėra antro slaptažodžio. Arba sąmoningai eksportuokite konfigūraciją ir saugokite ją su kitomis savo paslaptimis, arba pripažinkite, kad atkūrimas reiškia raktų išdavimą iš naujo, ir užsirašykite, kuris pasirinkimas galioja kuriam tuneliui.