WireGuard tuneļu atjaunošana no miruša Windows datora

Klēpjdators nomirst ar trim konfigurētiem WireGuard tuneļiem, un konfigurācijas faili joprojām ir diskā. To kopēšana uz aizvietotājmašīnu rada pakalpojumu, kas palaižas un pēc tam atsakās pacelties. Faili ir aizsargāti ar atslēgu, kas pieder kontam un mašīnai, kuras tos izveidoja, tāpēc baiti ceļo, bet spēja tos lasīt ne. Tālāk sniegtā instrukcija iet no faila atrašanas līdz opcijai, kas patiešām atjauno pakalpojumu.

Kur tagad dzīvo tuneļa fails

Glabāšanas vieta starp laidieniem ir mainījusies. Vecākas instalācijas profilu turēja sistēmas profila vietējos lietojumprogrammu datos mapē WireGuard\Configurations, un pašreizējās būves izmanto datu direktoriju programmas failu kokā. Katrs tunelis ir viens fails ar dubultu paplašinājumu, kas nosauc aizsardzību:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Piedēklis .dpapi nav rotājums. Fails ir aizsargāts blobs, un pakalpojums ir veidots tā, lai to patērētu tieši šādā formā. Atbalstītais veids, kā no tā instalēt tuneli, ir paaugstināts izsaukums, kas norāda uz blobu:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Šī komanda izdodas tikai kontekstā, kas spēj atvērt blobu. Tā instalē pakalpojumu; tā neko jūsu vietā neatšifrē.

Kāpēc blobs citur neatveras

Aizsardzība iegūst atslēgu no lietotāja pieteikšanās datiem un, atkarībā no izvēlētā tvēruma, no mašīnas. Microsoft dokumentācija par aizsardzības izsaukumu saka, ka noklusējums pieder lietotājam un mašīnai, kuras to šifrēja, un visai mašīnai paredzēta opcija maina, kas to drīkst atvērt. Abos gadījumos atslēga dzīvo operētājsistēmas pieteikšanās materiālā, nevis failā. Šifrteksts ir pārnēsājams; atslēga nav.

Mapes īpašumtiesību pārņemšana maina ACL un neko citu. Vecā diska ievietošana korpusā un bloba kopēšana uz jaunu datoru atstāj šifrtekstu, kura atslēga nekad netika kopēta. Kļūme ir kriptogrāfiska, un nekāda pakalpojuma pārinstalēšana to nemaina. Jaunajai mašīnai nav galvenās atslēgas šim kontam, un vecā atslēgu krātuve neceļo kopā ar failu.

Produkti, kas iestatījumus glabā aizmiglētā failā, skaidri parāda pretstatu. Konfigurācija, kas tikai aizmiglēta, kļūst lasāma, tiklīdz atrodat karodziņu, kas izslēdz aizmiglējumu; aizsargāts blobs bez atslēgas paliek aizvērts. Abu sajaukšana liek cilvēkiem meklēt atkodētāju, kā nav.

Ko pamēģināt, kamēr vecā sistēma vēl startē

Ja instalācija vēl startē, eksportējiet tuneļus no klienta, esot pieteikušies kā kontā, kas tos izveidoja. Eksports izveido parastus konfigurācijas failus, un tieši tad dublējums kļūst pārnēsājams.

Ja disks ir lasāms, bet Windows nestartē, aizsargātie faili faktiski ir zaudēti. Rīki, kas sola tos atjaunot, vai nu darbojas sākotnējā kontekstā, kura jums vairs nav, vai arī lūdz nodot blobu un jūsu vecā diska attēlu, un tas ir lēmums, pie kura ir vērts apstāties.

Pierakstiet, ko uzzināt, abos gadījumos: tuneļu nosaukumus, galapunktus un publiskās atslēgas. Nosaukumi un galapunkti ļauj ātri atjaunot, un publiskās atslēgas ļauj otrai pusei noteikt, kuru ierakstu noņemt.

Labāk atjaunojiet no otras puses

Par otru pusi, kuru kontrolējat, ģenerējiet jaunu atslēgu pāri un pievienojiet jauno publisko atslēgu otras puses sarakstam. Par uzņēmuma vai mitinātu galapunktu lūdziet administratoram izsniegt jaunu atslēgu un noņemt veco. Šis pieprasījums ir tāds pats, kādu iesniegtu pēc zādzības, jo pazaudēts disks nozīmē, ka vecā privātā atslēga jāuzskata par atklātu.

Pēc tam atjaunojiet tuneli no pierakstītajām vērtībām un apstipriniet rokasspiedienu, pirms dzēšat ko citu. Vecajam ierakstam otrā pusē jāizzūd tajā pašā izmaiņā, lai nozagts disks vēlāk nevarētu atkal pieslēgties.

Mācība pieder dublējumu politikai, nevis atjaunošanas rīkam. WireGuard konfigurācija ir pieteikšanās datums: ikviens, kam ir privātā atslēga, tur otra puses identitāti, un ceļā nav otras paroles. Vai nu apzināti eksportējiet konfigurāciju un glabājiet to kopā ar citiem noslēpumiem, vai pieņemiet, ka atjaunošana nozīmē atslēgu atkārtotu izsniegšanu, un pierakstiet, kura izvēle attiecas uz katru tuneli.