虛擬化數(shù)據(jù)恢復(fù)—誤還原Vmware虛擬機(jī)快照的數(shù)據(jù)恢復(fù)案例

虛擬化數(shù)據(jù)恢復(fù)環(huán)境：
一臺虛擬機(jī)從物理機(jī)遷移到ESXI虛擬化平臺，遷移完成后做了一個快照。虛擬機(jī)上運(yùn)行了一個SQL Server數(shù)據(jù)庫，記錄了數(shù)年的數(shù)據(jù)。
ESXI虛擬化平臺上有數(shù)十臺虛擬機(jī)，EXSI虛擬化平臺連接了一臺EVA存儲，所有的虛擬機(jī)都存放在EVA存儲上。

虛擬化故障：
工組人員誤操作將數(shù)年前遷移完成后做的快照還原了，也就意味著虛擬機(jī)狀態(tài)還原到數(shù)年前，近幾年數(shù)據(jù)都被刪除了。
還原快照相當(dāng)于刪除數(shù)據(jù)，意味著部分存儲空間會被釋放。為了不讓這部分釋放的空間被重用，需要將連接到這臺存儲的所有虛擬機(jī)都關(guān)掉，需要將不能長時間宕機(jī)的虛擬機(jī)遷移到別的EXSI虛擬化平臺上。

虛擬化數(shù)據(jù)恢復(fù)過程：
Vmware所有的虛擬機(jī)都存放在Vmfs文件系統(tǒng)中。Vmfs文件系統(tǒng)默認(rèn)會將整個存儲空間劃分為1M大小的Block，分配給文件的最小單位為一個Block。Vmfs文件系統(tǒng)中有一片區(qū)域描述這些1M Block的使用情況。每1024個Block（也就是1GB）會用一個MAP來記錄。
MAP記錄的1M大小的Block在物理磁盤上不一定是連續(xù)的，但MAP所記錄的所有1M大小的Block一定是同一個文件的。一個文件是由N多個MAP中的1024個Block組成的。
1、Vmware還原快照實際上就是刪掉一個文件。在Vmfs文件系統(tǒng)中，刪除一個文件只會刪掉文件的索引項，而不會刪掉文件的實際數(shù)據(jù)以及指向數(shù)據(jù)的MAP。只需要提取出整個vmfs文件系統(tǒng)中空閑的MAP，然后在空閑的MAP中找到一個符合快照文件頭結(jié)構(gòu)的MAP。
2、根據(jù)快照文件的結(jié)構(gòu)，提取快照文件剩下的碎片。
3、將快照文件和原vmdk合并生成新的vmdk。
4、新的vmdk中包含了所有的數(shù)據(jù)，掛載新的vmdk并使用北亞企安自主開發(fā)的程序解釋vmdk中的數(shù)據(jù)。
5、解釋完成后已經(jīng)能看見所有數(shù)據(jù)，經(jīng)過用戶驗證，確認(rèn)數(shù)據(jù)完整有效，用戶認(rèn)可恢復(fù)數(shù)據(jù)結(jié)果。

審核編輯 黃宇