虛拟機快照不可恢複-tft每日頭條

服務器虛拟化數據恢複環境：

故障虛拟機是由物理機遷移到ESXI，遷移完成後做了一個快照。

故障虛拟機上運行的是一個sql server數據庫，記錄了近5年的數據。

ESXI上有二十多台虛拟機，EXSI連接一台HP EVA存儲，所有的虛拟機（包括故障虛拟機）都放在這台EVA存儲上。

虛拟機快照不可恢複（服務器虛拟化數據恢複）1

北亞數據恢複——ESXI數據恢複

服務器虛拟化故障&分析：

由于誤操作不小心将3年前的快照還原了，即把虛拟機還原到3年前的狀态，最近3年的數據都被删除了。

虛拟機還原快照意味着删除數據，釋放底層的存儲空間。為了不讓這部分空間被重新利用，需要将連接這台存儲的所有虛拟機都關機。如果有重要的虛拟機不能長時間關機，可以遷移到别的EXSI上。本案例剛好有一台虛拟機運行關鍵業務不能關機，隻能做熱遷移。由于vmware熱遷移需要建立多個快照來完成，而這會給後期的恢複快照工作帶來額外的困難。遷移完所有虛拟機後按照北亞數據恢複流程需要對底層的EVA存儲做完整鏡像，但是由于用戶比較着急，而鏡像整個存儲時間太長，隻能将EVA存儲以隻讀的方式挂載到一台北亞備份服務器上以隻讀的方式恢複數據。

虛拟機快照不可恢複（服務器虛拟化數據恢複）2

北亞數據恢複——ESXI數據恢複

服務器虛拟化數據恢複過程：

Vmware的文件系統叫做Vmfs，所有的虛拟機都存放在這個文件系統中。Vmfs文件系統會默認将整個磁盤劃分成1M的Block，分配給文件的最小單位就是一個Block。Vmfs文件系統中會有一片區域描述這些1M Block的使用情況，每1024個Block（也就是1GB）會用一個MAP來記錄。這個MAP裡面記錄的1M Block在物理磁盤上不一定是連續的，但這個MAP所記錄的所有1M Block一定是同一個文件的。換句話說：一個文件是由N多個MAP中的1024個Block組成的，即FileSize = N * MAP * 1024（Block）。

虛拟機快照不可恢複（服務器虛拟化數據恢複）3

北亞數據恢複——ESXI數據恢複

Vmware快照就是一個文件，還原快照就是删掉一個文件。在Vmfs文件系統中删除一個文件隻會删掉文件的索引項，而不會删掉文件的實際數據以及指向數據的MAP。

1、提取整個vmfs文件系統中空閑的MAP。

2、空閑的MAP中找到一個符合快照文件頭結構的MAP。

3、根據快照文件的結構提取快照文件剩下的碎片。

4、提取完快照文件後将快照文件和原vmdk合并生成新的vmdk，新的vmdk中包含了所有的數據。

5、挂載新的vmdk并解釋裡面的數據即可恢複還原快照之前的數據。