【服務(wù)器數(shù)據(jù)恢復(fù)】VMware誤操作還原快照的數(shù)據(jù)恢復(fù)方案

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
幾年前從一臺(tái)物理服務(wù)器上遷移到ESXI上的虛擬機(jī)，在遷移完成后做了一個(gè)快照。

服務(wù)器故障：
某天工作人員誤操作還原了幾年前遷移完成后所做的快照，將這臺(tái)虛擬機(jī)的數(shù)據(jù)恢復(fù)到幾年前剛遷移完成時(shí)候的狀態(tài)，近3年的更新的數(shù)據(jù)全部丟失。

服務(wù)器數(shù)據(jù)恢復(fù)原理：
還原快照操作與刪除數(shù)據(jù)在本質(zhì)上是一樣的，虛擬機(jī)刪除快照后會(huì)將底層存儲(chǔ)空間相應(yīng)的位置釋放，然后重新使用該部分空間存儲(chǔ)新的數(shù)據(jù)。北亞企安數(shù)據(jù)恢復(fù)工程師在這里強(qiáng)調(diào)一下：如果一臺(tái)設(shè)備上的虛擬機(jī)不小心還原了快照，應(yīng)該盡快將該設(shè)備上所有虛擬機(jī)關(guān)機(jī)或遷移到其他ESXI上。
恢復(fù)數(shù)據(jù)之前需要先了解vmfs文件系統(tǒng)的底層結(jié)構(gòu)。vmfs文件系統(tǒng)是wmware虛擬化的專有文件系統(tǒng)。vmfs文件系統(tǒng)下默認(rèn)將所有的硬盤劃分為若干區(qū)域，這些區(qū)域的最小單位被稱為block。每個(gè)block的大小為1MB，每1024個(gè)block組成一個(gè)MAP。這些信息記錄在vmfs文件系統(tǒng)的某一片特定區(qū)域內(nèi)。每個(gè)map里面的block在物理硬盤上的存儲(chǔ)順序不連續(xù)，但每個(gè)map里的所有block一定是屬于同一個(gè)文件的，F(xiàn)ileSize= N × MAP × 1024（Block）。

北亞企安數(shù)據(jù)恢復(fù)——VMware數(shù)據(jù)恢復(fù)

在vmfs文件系統(tǒng)中，如果某文件被刪除，在底層數(shù)據(jù)層面只是刪除了文件的索引項(xiàng)，數(shù)據(jù)內(nèi)容及指向數(shù)據(jù)map并沒有被刪除。

服務(wù)器數(shù)據(jù)恢復(fù)方案：
1、提取整個(gè)vmfs文件系統(tǒng)里所有的空閑map。
2、找到符合快照文件頭結(jié)構(gòu)的map。
3、根據(jù)vmfs文件結(jié)構(gòu)繼續(xù)提取剩余的文件碎片。
4、將所有數(shù)據(jù)提取完成后，結(jié)合原有的vmdk合并成一個(gè)新的vmdk。
5、將新合成的vmdk文件掛載，解釋里面的數(shù)據(jù)即可完成虛擬機(jī)的數(shù)據(jù)恢復(fù)。

審核編輯黃宇