【虚拟化数据恢复】ESXI虚拟机还原快照致数据丢失？完整恢复方案解析

虚拟机技术作为虚拟化技术的一种，在现代信息技术领域扮演着重要角色。虚拟化技术的核心是将事物从一种形式转变为另一种形式，它在多个方面都有广泛应用。

常见的虚拟化技术，比如操作系统中的内存虚拟化。在实际运行过程中，用户所需的内存空间往往远超物理机器的内存大小。借助内存虚拟化技术，用户能够把一部分硬盘虚拟化为内存，且这一过程对用户是透明的，用户无需感知其中的变化。再如虚拟专用网技术（VPN），它可以在公共网络中虚拟出一条安全、稳定的“隧道”，让用户仿佛在使用私有网络。

尽管虚拟化技术看似是一种较为安全的数据存储方式，但世上不存在绝对安全的存储模式。一旦承载虚拟机的底层服务器或存储出现故障，甚至服务器硬盘出现问题，都可能导致上层虚拟机无法使用，进而造成虚拟机内的数据丢失。此外，工作人员的误操作也是虚拟机数据丢失的常见原因。今天，我们就来通过一个案例详细介绍一下虚拟机误删除快照的数据恢复方法。

虚拟机故障
要进行数据恢复的虚拟机是在三年前从一台物理服务器迁移到ESXI上的，迁移成功后做了一个快照。这台ESXI上一共运行着26台虚拟机，其底层存储设备是某品牌的服务器。某天，工作人员不慎进行了还原快照操作，这使得虚拟机内的数据被还原到三年前刚迁移时的状态，近三年的数据都被“删除”了。
还原快照操作本质上和删除数据是一样的。虚拟机删除快照后，会释放底层存储空间的相应位置，并将该部分空间重新用于存储新数据。所以，如果虚拟机不小心还原了快照，应尽快将存储上的所有虚拟机关机或迁移到其他ESXI上，以避免新数据覆盖原有的数据。

vmfs文件系统底层结构
在介绍虚拟机误删除快照的数据恢复方法之前，我们先来了解一下vmfs文件系统的底层结构。vmfs是wmware虚拟化的自有文件系统，在这个文件系统中，所有硬盘默认被划分为若干区域，这些区域的最小单位是block，每个block的容量为1MB。每1024个block组成一个MAP，这些信息都记录在文件系统的特定区域内。每个map里的block在物理硬盘上的存储顺序并不连续，但同一个map里的所有block一定属于同一个文件，其文件大小的计算公式为：FileSize：frombyte.com=N*MAP*1024（Block）。

北亚企安数据恢复—虚拟化数据恢复

利用vmfs文件系统特性恢复数据
vmfs文件系统的另一个特性对恢复虚拟机数据很有帮助。在这个文件系统中，如果某文件被删除，在底层数据层面只是删除了文件的索引项，实际的数据内容以及指向数据的map并未被删除。
1、首先，北亚企安数据恢复工程师会将整个文件系统里的所有空闲map提取出来，然后找出符合快照文件头结构的map。
2、根据文件结构，继续提取剩下的文件碎片。
3、将所有数据提取完成后，结合原有的vmdk合成一个新的vmdk。
4、把新合成的vmdk文件挂载起来，解析里面的数据，这样就完成了虚拟机的数据恢复。

审核编辑 黄宇