Få attende WireGuard-tunnelar frå ein daud Windows-PC

Ein berbar PC døyr med tre konfigurerte WireGuard-tunnelar, og konfigurasjonsfilene ligg framleis på disken. Kopierer ein dei til ein erstattningsmaskin, får ein ei teneste som startar og deretter nektar å kome opp. Filene er verna med ein nøkkel som høyrer til kontoen og maskinen som laga dei, så byta reiser, men evna til å lese dei gjer det ikkje. Gjennomgangen nedanfor går frå å finne fila til alternativet som faktisk får attende tenesta.

Kvar tunnelfila bur no

Lagringa har flytta seg mellom versjonar. Eldre installasjonar heldt profilar i dei lokale programdataa til systemprofilen under ei WireGuard\Configurations-mappe, og dagens bygg brukar ei datamappe inne i programfilstreet. Kvar tunnel er éi fil med ei dobbel utviding som namngjev vernet:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Endinga .dpapi er ikkje pynt. Fila er ein verna blob, og tenesta er laga for å bruke henne nøyaktig i den forma. Den støtta måten å installere ein tunnel frå henne er eit forhøgd kall som peikar på bloben:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Den kommandoen lukkast berre i samanhengen som kan pakke ut bloben. Han installerer ei teneste; han dekrypterer ikkje noko for deg.

Kvifor bloben ikkje opnar seg andre stader

Vernet utleiar nøkkelen sin frå påloggingsinformasjonen til brukaren og, avhengig av omfanget som blir valt, frå maskinen. Microsoft-dokumentasjonen for vernkallet seier at standarden høyrer til brukaren og maskinen som krypterte han, og eit maskinvidt alternativ endrar kven som kan pakke han ut. I begge tilfelle bur nøkkelen i legitimasjonsmaterialet til operativsystemet, ikkje inne i fila. Chifferteksten er flyttbar; nøkkelen er det ikkje.

Å ta eigarskap til mappa endrar ein ACL og ingenting anna. Å montere den gamle disken i eit kabinett og kopiere bloben til ein ny PC lèt deg sitje att med chiffertekst som nøkkelen aldri vart kopiert for. Feilen er kryptografisk, og ingen mengd reinstallasjon av tenesta endrar det. Den nye maskinen har ingen hovudnøkkel for den kontoen, og det gamle nøkkellageret reiser ikkje med fila.

Produkt som lagrar innstillingar i ei sløra fil gjer kontrasten tydeleg. Ein konfigurasjon som berre er obfuskert, blir lesbar når du finn flagget som slår av obfuskeringa; ein verna blob blir verande lukka utan nøkkelen. Blandar ein dei to, leitar folk etter ein dekodar som ikkje finst.

Kva du kan prøve medan det gamle systemet framleis startar

Om installasjonen framleis startar, eksporterer du tunnelane frå klienten medan du er pålogga som kontoen som laga dei. Eksporten lagar vanlege konfigurasjonsfiler, og det er på det punktet ein tryggleikskopi blir flyttbar.

Om disken er lesbar men Windows ikkje startar, er dei verna filene i praksis tapte. Verktøy som lovar å få dei attende, køyrer anten i den opphavlege samanhengen du ikkje lenger har, eller ber deg overlevere bloben og det gamle diskbiletet ditt, noko som er ei avgjerd det er verdt å stoppe ved.

Skriv ned det du lærer, same kva: tunnelnamna, endepunkta og dei offentlege nøklane. Namn og endepunkt lèt deg byggje opp att raskt, og offentlege nøklar lèt motparten identifisere kva oppføring som skal fjernast.

Bygg heller opp att frå sida til motparten

For ein motpart du styrer, genererer du eit nytt nøkkelpar og legg den nye offentlege nøkkelen til lista til motparten. For eit bedrifts- eller vertsendepunkt ber du administratoren gje ut ein ny nøkkel og fjerne den gamle. Den førespurnaden er den same som du ville sendt etter eit tjuveri, fordi ein tapt disk betyr at den gamle private nøkkelen må handsamast som avdekt.

Bygg deretter opp tunnelen att frå verdiane du skreiv ned, og stadfest handtrykket før du slettar noko anna. Den gamle oppføringa hos motparten bør forsvinne i same endring, slik at ein stolen disk ikkje kan kople til att seinare.

Lærdomen høyrer heime i tryggleikskopipolitikken, ikkje i eit attopprettingsverktøy. Ein WireGuard-konfigurasjon er ein legitimasjon: den som har den private nøkkelen, har identiteten til motparten, og det er ikkje noko andre passord i vegen. Anten eksporterer du konfigurasjonen med vilje og oppbevarer han saman med dei andre løyndomane dine, eller du godtek at attoppretting betyr å gje ut nye nøklar, og skriv ned kva val som gjeld for kvar tunnel.