虛擬化數據恢復—虛擬機誤還原快照的數據恢復案例

虛擬化技術原理是將硬件虛擬化給不同的虛擬機使用，利用虛擬化技術可以在一臺物理機上安裝多臺虛擬機。誤操作或者物理機器出現故障都會導致虛擬機不可用，虛擬機中的數據丟失。

虛擬化數據恢復環境：
有一臺虛擬機是由物理機遷移到ESXI上面的，遷移完成后為該虛擬機做了一個快照。虛擬機上運行了一個SQL Server數據庫，記錄了5年左右的數據。
該ESXI上共有二十幾臺虛擬機，EXSI連接一臺某品牌EVA存儲，所有的虛擬機（包括故障虛擬機）都存放在該EVA存儲上。

虛擬機故障：
工作人員的誤操作將數年前剛遷移后做的快照給還原了?？煺帐菙的昵白鐾赀w移時創建的，也就是說虛擬機數據還原到數年前了，近幾年更新的數據都被刪除了。
還原快照相當于刪除數據，意味著底層的存儲空間會被釋放一部分。誤還原快照后，為了避免這部分釋放的空間被重新使用覆蓋，需要將連接這臺存儲的所有虛擬機都關機。如果有重要的虛擬機不能長時間宕機，則需要將不能長時間宕機的虛擬機遷移到別的EXSI上。剛好本例中有一臺虛擬機不能長時間關機，只能做熱遷移。遷移完所有虛擬機后就著手開始恢復虛擬機數據了。

虛擬機數據恢復過程：
Tips：Vmware文件系統是Vmfs，所有的虛擬機都存放在Vmfs中。Vmfs默認會將整個磁盤空間劃分為1M的Block，分配給文件的最小單位為一個Block。Vmfs中有一片區域描述這些1M Block的使用情況，而每1024個Block（也就是1GB）會用一個MAP來記錄。MAP記錄的1M的 Block在物理磁盤上不一定是連續的，但這個MAP所記錄的所有1M的Block一定是同一個文件的。即：一個文件是由N多個MAP中的1024個Block組成的，即FileSize = N * MAP * 1024（Block）。
Vmware的快照其實就是一個文件，還原快照也就是刪掉一個文件。在Vmfs中，刪除一個文件只會刪掉文件的索引項，而不會刪掉文件的實際數據以及指向數據的MAP。
1、備份過程在這里就不贅述了。備份完成后北亞企安數據恢復工程師編寫程序開始提取vmfs中空閑的MAP。
2、在空閑的MAP中找到一個符合快照文件頭結構的MAP。
3、根據快照文件的結構，提取快照文件剩下的碎片。
4、提取完快照文件后，將快照文件和原vmdk合并生成新的vmdk，新的vmdk中包含了所有的數據。
5、掛載新的vmdk并解釋vmdk中的數據。

審核編輯 黃宇