Враќање на WireGuard тунели од мртов компјутер со Windows

Лаптоп умира со три конфигурирани WireGuard тунели, а конфигурациските датотеки и натаму се на дискот. Нивното копирање на заменска машина создава услуга што се стартува и потоа одбива да се крене. Датотеките се заштитени со клуч што им припаѓа на сметката и машината што ги создале, па бајтите патуваат, а способноста да се читаат не. Упатството подолу оди од пронаоѓање на датотеката до опцијата што навистина ја враќа услугата.

Каде сега живее датотеката на тунелот

Складирањето се премести меѓу изданијата. Постарите инсталации ги држеа профилите во локалните податоци за апликации на системскиот профил во папка WireGuard\Configurations, а тековните изработки користат директориум за податоци во дрвото на програмските датотеки. Секој тунел е една датотека со двојна екстензија што ја именува заштитата:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Наставката .dpapi не е украс. Датотеката е заштитен блоб, а услугата е дизајнирана да го троши точно во таа форма. Поддржаниот начин да инсталирате тунел од неа е повик со зголемени права што покажува на блобот:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Таа команда успева само во контекстот што може да го отпакува блобот. Таа инсталира услуга; не дешифрира ништо наместо вас.

Зошто блобот не се отвора на друго место

Заштитата го изведува својот клуч од податоците за најава на корисникот и, зависно од избраниот опсег, од машината. Документацијата на Microsoft за повикот за заштита вели дека стандардното им припаѓа на корисникот и машината што го шифрирале, а опцијата за целата машина менува кој може да го отпакува. Во двата случаи клучот живее во материјалот за најава на оперативниот систем, не во датотеката. Шифратот е пренослив; клучот не е.

Преземањето сопственост на папката менува ACL и ништо друго. Монтирањето на стариот диск во куќиште и копирањето на блобот на нов компјутер ви остава шифрат чиј клуч никогаш не бил копиран. Неуспехот е криптографски и никакво преинсталирање на услугата не го менува. Новата машина нема главен клуч за таа сметка, а старото складиште за клучеви не патува со датотеката.

Производите што ги чуваат поставките во заматена датотека ја прават разликата јасна. Конфигурацијата што е само заматена станува читлива штом го најдете знаменцето што го исклучува заматувањето; заштитениот блоб останува затворен без клучот. Мешањето на двете ги тера луѓето да бараат декодер што не постои.

Што да пробате додека стариот систем и натаму се подига

Ако инсталацијата и натаму стартува, извезете ги тунелите од клиентот додека сте најавени како сметката што ги создала. Извозот создава обични конфигурациски датотеки, и токму тогаш резервната копија станува пренослива.

Ако дискот е читлив, но Windows не се подига, заштитените датотеки се ефективно изгубени. Алатките што ветуваат дека ќе ги вратат или работат во оригиналниот контекст што веќе го немате, или бараат да ги предадете блобот и сликата од стариот диск, што е одлука пред која вреди да застанете.

Запишете што ќе научите во двата случаи: имињата на тунелите, крајните точки и јавните клучеви. Имињата и крајните точки ви овозможуваат брзо да изградите повторно, а јавните клучеви и овозможуваат на другата страна да препознае кој запис да го отстрани.

Наместо тоа, изградете повторно од страната на партнерот

За партнер што го контролирате, генерирајте нов пар клучеви и додајте го новиот јавен клуч на списокот на партнерот. За корпоративна или хостирана крајна точка, побарајте од администраторот да издаде нов клуч и да го отстрани стариот. Тоа барање е истото што би го упатиле по кражба, зашто изгубен диск значи дека стариот приватен клуч мора да се третира како откриен.

Потоа изградете го тунелот повторно од вредностите што ги запишавте, и потврдете го ракувањето пред да избришете нешто друго. Стариот запис кај партнерот треба да исчезне во истата промена, за да не може украден диск подоцна повторно да се поврзе.

Поуката припаѓа на политиката за резервни копии, а не на алатка за враќање. Конфигурацијата на WireGuard е податок за најава: кој го држи приватниот клуч, го држи идентитетот на партнерот, и на патот нема втор пасворд. Или намерно извезете ја конфигурацијата и чувајте ја со другите тајни, или прифатете дека враќањето значи повторно издавање клучеви, и запишете кој избор важи за секој тунел.