虛擬化技術原理是將硬件虛擬化供不同的虛擬機使用，一臺物理機上可以有多臺虛擬機。人為誤操作或者物理機故障會導致上層虛擬機不可用，甚至虛擬機里的重要數(shù)據(jù)丟失。下面給大家分享一個vmware虛擬化誤操作還原快照的數(shù)據(jù)恢復案例。

虛擬化數(shù)據(jù)恢復環(huán)境：
一臺由物理機遷移到EXSI上面的虛擬機，遷移完成后做了一個快照。該虛擬機上運行SQL Server數(shù)據(jù)庫，記錄了幾年的數(shù)據(jù)。
EXSI虛擬化平臺上一共有數(shù)十臺虛擬機，EXSI連接了一臺EVA存儲，所有的虛擬機（包括故障虛擬機）都放在EVA存儲上。

北亞企安數(shù)據(jù)恢復—虛擬機數(shù)據(jù)恢復

虛擬化故障：
由于工作人員的誤操作，不小心將幾年前遷移完成后做的快照給還原了。也就是說虛擬機還原到幾年前做快照時候的狀態(tài)了，近幾年的數(shù)據(jù)都沒了。

虛擬化故障分析：
還原快照等同于刪除數(shù)據(jù)，底層存儲空間會被釋放一部分。為了不讓EVA存儲上這部分釋放的空間被重用，需要將連接這臺存儲的所有虛擬機都關掉。如果有重要的虛擬機不能長時間宕機，需要將這些重要的虛擬機遷移到其他的EXSI上。剛好本案例中有一臺虛擬機不能關機，只能做熱遷移。vmware的熱遷移需要建立多個快照來完成，這給后期的恢復工作帶來很多額外的阻礙。完成虛擬機的遷移后，將EVA存儲以只讀的方式掛載到一臺服務器上。將EVA存儲中所有數(shù)據(jù)完整鏡像到這臺服務器上，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復都基于這臺服務器上的鏡像數(shù)據(jù)進行。
Vmware的文件系統(tǒng)叫Vmfs，所有虛擬機都存放在這個文件系統(tǒng)中。Vmfs將整個磁盤分成1M的Block，分配給文件的最小單位為一個Block。Vmfs中會有一片區(qū)域描述這些1M Block的使用情況，而每1024個Block（也就是1GB）會用一個MAP來記錄。這個MAP里面記錄的1M Block在物理磁盤上不一定是連續(xù)的。
但這個MAP所記錄的所有1M Block一定是同一個文件的。一個文件是由多個MAP中的1024個Block組成的，即文件大小 = MAP數(shù)量 * 1024（Block）。
Vmware的快照其實就是一個文件，還原快照也就是刪掉一個文件。而在Vmfs中，刪除一個文件只會刪掉文件的索引項，而不會刪掉文件的實際數(shù)據(jù)以及指向數(shù)據(jù)的MAP。

北亞企安數(shù)據(jù)恢復—虛擬機數(shù)據(jù)恢復

虛擬化數(shù)據(jù)恢復過程：
1、提取vmfs中空閑的MAP，在空閑的MAP中找到一個符合快照文件頭結構的MAP。
2、根據(jù)快照文件的結構，提取快照文件剩下的碎片。
3、快照文件提取完成后，將快照文件和原vmdk合并生成新的vmdk。
4、新的vmdk中包含了所有的數(shù)據(jù)，掛載新的vmdk&使用北亞企安自主開發(fā)程序解釋vmdk中的數(shù)據(jù)即可。

虛擬化恢復數(shù)據(jù)驗證：
由于做過虛擬機的熱遷移，所以有幾個快照文件碎片被重用了，恢復的數(shù)據(jù)中最新的數(shù)據(jù)不可用。由于SQL Server數(shù)據(jù)庫每天都做備份，雖然最新的數(shù)據(jù)不可用，但是備份的數(shù)據(jù)可用，用戶方接受恢復結果。

北亞企安數(shù)據(jù)恢復—虛擬機數(shù)據(jù)恢復

審核編輯 黃宇