Recuperar túneis WireGuard de um PC Windows morto

Um portátil morre com três túneis WireGuard configurados, e os arquivos de configuração continuam no disco. Copiá-los para uma máquina de substituição produz um serviço que arranca e depois se recusa a subir. Os arquivos estão protegidos com uma chave que pertence à conta e à máquina que os criaram, então os bytes viajam e a capacidade de lê-los não. O percurso abaixo vai de localizar o arquivo até a opção que realmente recupera o serviço.

Onde vive agora o arquivo do túnel

O armazenamento mudou entre versões. As instalações mais antigas guardavam os perfis nos dados de aplicativos locais do perfil do sistema, dentro de uma pasta WireGuard\Configurations, e as compilações atuais usam um diretório de dados dentro da árvore de arquivos do programa. Cada túnel é um único arquivo com uma extensão dupla que nomeia a proteção:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

O sufixo .dpapi não é decoração. O arquivo é um blob protegido, e o serviço é projetado para consumi-lo exatamente nessa forma. A forma suportada de instalar um túnel a partir dele é uma chamada elevada que aponta para o blob:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Esse comando só tem êxito no contexto que consegue desembrulhar o blob. Ele instala um serviço; não descriptografa nada por você.

Por que o blob não abre em outro lugar

A proteção deriva sua chave das credenciais de logon do usuário e, dependendo do escopo escolhido, da máquina. A documentação da Microsoft para a chamada de proteção diz que o padrão pertence ao usuário e à máquina que o criptografaram, e uma opção para toda a máquina muda quem pode desembrulhá-lo. Nos dois casos a chave vive no material de credenciais do sistema operacional, não dentro do arquivo. O texto cifrado é portátil; a chave não.

Tomar posse da pasta muda uma ACL e nada mais. Montar o disco antigo em um gabinete e copiar o blob para um PC novo deixa você com texto cifrado cuja chave nunca foi copiada. A falha é criptográfica, e nenhuma reinstalação do serviço a muda. A máquina nova não tem nenhuma chave mestra para essa conta, e o armazenamento de chaves antigo não viaja com o arquivo.

Os produtos que guardam configurações em um arquivo ofuscado deixam o contraste claro. Uma configuração apenas ofuscada torna-se legível assim que você encontra o sinalizador que desativa a ofuscação; um blob protegido continua fechado sem a chave. Confundir os dois leva as pessoas a procurar um decodificador que não existe.

O que tentar enquanto o sistema antigo ainda inicializa

Se a instalação ainda inicia, exporte os túneis do cliente enquanto estiver conectado como a conta que os criou. A exportação produz arquivos de configuração comuns, e é nesse ponto que um backup se torna portátil.

Se o disco é legível mas o Windows não inicializa, os arquivos protegidos estão efetivamente perdidos. As ferramentas que prometem recuperá-los ou rodam no contexto original, que você não tem mais, ou pedem que você entregue o blob e a imagem do seu disco antigo, o que é uma decisão sobre a qual vale a pena parar.

Anote o que aprender em qualquer caso: os nomes dos túneis, os endpoints e as chaves públicas. Nomes e endpoints permitem reconstruir rápido, e as chaves públicas permitem que o outro lado identifique qual entrada remover.

Reconstrua, em vez disso, do lado do par

Para um par que você controla, gere um novo par de chaves e adicione a nova chave pública à lista do par. Para um endpoint corporativo ou hospedado, peça ao administrador que emita uma nova chave e remova a antiga. Esse pedido é o mesmo que você faria após um roubo, porque um disco perdido significa que a chave privada antiga deve ser tratada como exposta.

Depois reconstrua o túnel com os valores que anotou, e confirme o handshake antes de apagar qualquer outra coisa. A entrada antiga no par deveria desaparecer na mesma alteração, para que um disco roubado não possa se reconectar mais tarde.

A lição pertence à política de backup e não a uma ferramenta de recuperação. Uma configuração WireGuard é uma credencial: quem tem a chave privada tem a identidade do par, e não há uma segunda senha no caminho. Ou você exporta a configuração de propósito e a guarda com seus outros segredos, ou aceita que recuperar significa reemitir chaves, e anota qual escolha se aplica a cada túnel.