O’lik Windows kompyuteridan WireGuard tunnellarini tiklash

Uchta WireGuard tunneli sozlangan noutbuk ishdan chiqadi, konfiguratsiya fayllari esa hali ham diskda turadi. Ularni o’rinbosar mashinaga nusxalash ishga tushadigan, keyin esa ko’tarilishdan bosh tortadigan xizmatni keltirib chiqaradi. Fayllar ularni yaratgan hisob va mashinaga tegishli kalit bilan himoyalangan, shuning uchun baytlar ko’chadi, ularni o’qish imkoniyati esa yo’q. Quyidagi yo’riqnoma faylni topishdan xizmatni haqiqatan tiklaydigan variantgacha boradi.

Tunnel fayli endi qayerda turadi

Saqlash joyi relizlar orasida o’zgargan. Eski o’rnatishlar profillarni tizim profilining mahalliy ilova ma’lumotlarida, WireGuard\Configurations jildi ostida saqlagan, joriy versiyalar esa dastur fayllari daraxti ichidagi ma’lumotlar katalogidan foydalanadi. Har bir tunnel himoyani nomlaydigan qo’sh kengaytmali bitta fayldir:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

.dpapi qo’shimchasi bezak emas. Fayl himoyalangan blok bo’lib, xizmat uni aynan shu ko’rinishda iste’mol qilish uchun yaratilgan. Undan tunnel o’rnatishning qo’llab-quvvatlanadigan usuli — blokni ko’rsatuvchi yuqori huquqli chaqiruvdir:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Bu buyruq faqat blokni ocha oladigan kontekstda muvaffaqiyatli bo’ladi. U xizmat o’rnatadi; u siz uchun hech narsani shifrdan chiqarmaydi.

Nima uchun blok boshqa joyda ochilmaydi

Himoya kalitini foydalanuvchining tizimga kirish ma’lumotlaridan va tanlangan qamrovga qarab mashinadan oladi. Microsoft’ning ushbu himoya chaqiruvi bo’yicha hujjatlari standart qamrov uni shifrlagan foydalanuvchi va mashinaga tegishli ekanini, butun mashina uchun variant esa blokni kim ochishi mumkinligini o’zgartirishini aytadi. Ikkala holatda ham kalit fayl ichida emas, operatsion tizimning hisob ma’lumotlari materialida yashaydi. Shifrlangan matn ko’chadi, kalit esa yo’q.

Jild egaligini olish faqat ACL’ni o’zgartiradi, boshqa hech narsani emas. Eski diskni korpusga o’rnatib, blokni yangi kompyuterga nusxalash sizda kaliti hech qachon nusxalanmagan shifrlangan matnni qoldiradi. Bu kriptografik muvaffaqiyatsizlik va xizmatni necha marta qayta o’rnatsangiz ham o’zgarmaydi. Yangi mashinada bu hisob uchun asosiy kalit yo’q, eski kalit ombori esa fayl bilan birga ko’chmaydi.

Sozlamalarni yashirilgan faylda saqlaydigan mahsulotlar bu farqni yaqqol ko’rsatadi. Faqat yashirilgan konfiguratsiya yashirishni o’chiruvchi bayroqni topganingizda o’qiladigan bo’ladi; himoyalangan blok esa kalitsiz yopiq qoladi. Ikkalasini aralashtirish odamlarni mavjud bo’lmagan dekoder qidirishga undaydi.

Eski tizim hali yuklanayotganda nimalarni sinab ko’rish kerak

Agar o’rnatish hali ishga tushsa, tunnellarni ularni yaratgan hisob bilan tizimga kirgan holda mijozdan eksport qiling. Eksport oddiy konfiguratsiya fayllarini hosil qiladi va zaxira nusxa aynan shu paytda ko’chiriladigan bo’ladi.

Agar disk o’qiladigan bo’lsa-yu, Windows yuklanmasa, himoyalangan fayllar amalda yo’qolgan. Ularni tiklashga va’da beradigan vositalar yo endi sizda bo’lmagan asl kontekstda ishlaydi, yo sizdan blokni va eski diskingiz obrazini topshirishni so’raydi; bu — to’xtab o’ylashga arziydigan qaror.

Baribir o’rganganlaringizni yozib oling: tunnel nomlari, so’nggi nuqtalar va ochiq kalitlar. Nomlar va so’nggi nuqtalar tez qayta qurishga yordam beradi, ochiq kalitlar esa ikkinchi tomonga qaysi yozuvni olib tashlashni aniqlash imkonini beradi.

Buning o’rniga ikkinchi tomondan qayta quring

O’zingiz boshqaradigan peer uchun yangi kalit juftini yarating va yangi ochiq kalitni peer ro’yxatiga qo’shing. Korporativ yoki xostingdagi so’nggi nuqta uchun administratordan yangi kalit chiqarishni va eskisini olib tashlashni so’rang. Bu so’rov o’g’irlikdan keyin qiladigan so’rovingiz bilan bir xil, chunki yo’qolgan disk eski maxfiy kalitni oshkor bo’lgan deb hisoblash kerakligini bildiradi.

So’ngra tunnellarni yozib olgan qiymatlaringizdan qayta quring va boshqa narsani o’chirishdan oldin handshake amalga oshganini tasdiqlang. Peer’dagi eski yozuv ayni shu o’zgarishda yo’qolishi kerak, shunda o’g’irlangan disk keyinchalik qayta ulanmaydi.

Saboq zaxira siyosatiga tegishli, tiklash vositasiga emas. WireGuard konfiguratsiyasi — bu hisob ma’lumotlari: maxfiy kalitni ushlab turgan har kim peer’ning shaxsini ham ushlab turadi va yo’lda ikkinchi parol yo’q. Yo konfiguratsiyani ataylab eksport qilib, uni boshqa sirlaringiz bilan birga saqlang, yo tiklash kalitlarni qayta chiqarishni anglatishini qabul qiling va har bir tunnel uchun qaysi tanlov amal qilishini yozib qo’ying.