Pulihkan terowong WireGuard daripada PC Windows yang mati

Sebuah komputer riba mati dengan tiga terowong WireGuard dikonfigurasikan, dan fail konfigurasi masih ada pada cakera. Menyalinnya ke mesin ganti menghasilkan perkhidmatan yang bermula dan kemudian enggan naik. Fail itu dilindungi dengan kunci milik akaun dan mesin yang menciptanya, jadi bait bergerak tetapi keupayaan membacanya tidak. Panduan di bawah bergerak daripada mencari fail itu hingga pilihan yang benar-benar memulihkan perkhidmatan.

Di mana fail terowong itu kini tinggal

Storan telah berpindah antara keluaran. Pemasangan lama menyimpan profil dalam data aplikasi setempat profil sistem di bawah folder WireGuard\Configurations, dan binaan semasa menggunakan direktori data di dalam pokok fail program. Setiap terowong ialah satu fail dengan sambungan berganda yang menamakan perlindungan:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Akhiran .dpapi bukan hiasan. Fail itu ialah blob yang dilindungi, dan perkhidmatan direka untuk menggunakannya tepat dalam bentuk itu. Cara yang disokong untuk memasang terowong daripadanya ialah panggilan yang ditinggikan yang menunjuk kepada blob:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Perintah itu hanya berjaya dalam konteks yang boleh membuka blob itu. Ia memasang perkhidmatan; ia tidak menyahsulit apa-apa untuk anda.

Mengapa blob tidak terbuka di tempat lain

Perlindungan memperoleh kuncinya daripada kelayakan log masuk pengguna dan, bergantung pada skop yang dipilih, daripada mesin. Dokumentasi Microsoft untuk panggilan perlindungan menyatakan bahawa nilai lalai milik pengguna dan mesin yang menyulitkannya, dan pilihan seluruh mesin mengubah siapa yang boleh membukanya. Dalam kedua-dua kes kunci itu hidup dalam bahan kelayakan sistem pengendalian, bukan di dalam fail. Teks sifer itu mudah alih; kuncinya tidak.

Mengambil alih pemilikan folder mengubah ACL dan tiada yang lain. Melekapkan cakera lama dalam bekas dan menyalin blob ke PC baharu meninggalkan anda dengan teks sifer yang kuncinya tidak pernah disalin. Kegagalan itu bersifat kriptografi, dan tiada berapa kali pun perkhidmatan dipasang semula mengubahnya. Mesin baharu tiada kunci induk untuk akaun itu, dan stor kunci lama tidak bergerak bersama fail.

Produk yang menyimpan tetapan dalam fail kabur menjadikan kontras itu jelas. Konfigurasi yang hanya dikaburkan menjadi boleh dibaca sebaik anda menemui bendera yang mematikan pengaburan; blob yang dilindungi kekal tertutup tanpa kunci. Mengelirukan kedua-duanya membuat orang mencari penyahkod yang tidak wujud.

Apa yang perlu dicuba sementara sistem lama masih but

Jika pemasangan masih bermula, eksport terowong daripada klien semasa anda log masuk sebagai akaun yang menciptanya. Eksport menghasilkan fail konfigurasi biasa, dan pada titik itulah sandaran menjadi mudah alih.

Jika cakera boleh dibaca tetapi Windows tidak but, fail yang dilindungi itu sebenarnya hilang. Alat yang menjanjikan pemulihannya sama ada berjalan dalam konteks asal yang anda tidak lagi miliki, atau meminta anda menyerahkan blob dan imej cakera lama anda, yang merupakan keputusan yang wajar diberhentikan sebentar.

Catat apa yang anda pelajari dalam kedua-dua kes: nama terowong, titik akhir dan kunci awam. Nama dan titik akhir membolehkan anda membina semula dengan cepat, dan kunci awam membolehkan pihak rakan mengenal pasti entri mana yang perlu dibuang.

Bina semula daripada pihak rakan sebaliknya

Untuk rakan yang anda kawal, jana pasangan kunci baharu dan tambah kunci awam baharu ke senarai rakan. Untuk titik akhir korporat atau yang dihoskan, minta pentadbir mengeluarkan kunci baharu dan membuang yang lama. Permintaan itu sama dengan yang anda buat selepas kecurian, kerana cakera yang hilang bermakna kunci peribadi lama mesti dianggap terdedah.

Kemudian bina semula terowong daripada nilai yang anda catat, dan sahkan jabat tangan sebelum memadam apa-apa lagi. Entri lama pada rakan harus hilang dalam perubahan yang sama, supaya cakera yang dicuri tidak dapat menyambung semula kemudian.

Pengajarannya tergolong dalam dasar sandaran, bukan alat pemulihan. Konfigurasi WireGuard ialah kelayakan: sesiapa yang memegang kunci peribadi memegang identiti rakan, dan tiada kata laluan kedua di tengah jalan. Sama ada eksport konfigurasi dengan sengaja dan simpan bersama rahsia anda yang lain, atau terima bahawa pemulihan bermakna mengeluarkan semula kunci, dan catat pilihan mana yang terpakai untuk setiap terowong.