ESXI5.5虛拟機還原快照資料恢複處理辦法

 現在由于虛拟化技術的興起，很多企業開始運用虛拟化技術。虛拟化技術的原理就是将硬體虛拟化給不同的虛拟機使用。也就是一台實體的機器上可以有多台虛拟機。但如果實體機器出現故障或者存儲伺服器出現故障都會導緻上層的虛拟機不可用。還有包括員工的誤操作等原因。這些都會導緻虛拟機裡面的重要資料丢失，而彌補這些資料的唯一方法就是恢複資料。今天要說的就是一起vmware虛拟化誤操作的資料恢複案例。

【環境描述】

1）故障虛拟機是由實體機遷移到ESXI上面的，遷移完成後以防不穩定做了一個快照。

2）虛拟機上運作的是一個SQL 2005的資料庫，記錄了從2011年到2016年所有的資料。

3）整個ESXI上一共有20幾台虛拟機，EXSI連接配接的存儲是一台HP EVA4400，所有的虛拟機（包括故障虛拟機）都放在EVA上。

【故障描述】

  由于員工的誤操作，不小心還原快照了。快照是3年前做完遷移時建的，也就是虛拟機還原到3年前了。也就意味着這3年的資料都被删除了，而這些資料都是特别重要的。

【準備工作】

  還原快照就相當于删除資料，也就意味着底層的存儲空間會被釋放一部分。為了不讓這部分空間重用，需要将連接配接這台存儲的所有虛拟機都關掉，如果有重要的虛拟機不能長時間當機，則需要遷移到别的EXSI上。而客戶這裡有一台虛拟機很重要，不能關機，隻能做熱遷移。而vmware的熱遷移則是需要建立N多個快照來完成遷移的，這給後期的恢複快照工作帶來很多麻煩。遷移完所有虛拟機後就需要對底層的EVA存儲做鏡像了，但是客戶比較着急，鏡像整個存儲需要的時間太長。最後将EVA存儲以隻讀的方式挂載到一台北亞備份伺服器上，我們以隻讀的方式恢複資料。

【解決方案】

Vmfs檔案系統介紹：

Vmware自己的檔案系統叫做Vmfs，所有的虛拟機都存放在這個檔案系統中。Vmfs檔案系統中預設會将整個磁盤分成1M的Block，配置設定給檔案的最小機關為一個Block。Vmfs檔案系統中會有一片區域描述這些1M Block的使用情況，而每1024個Block（也就是1GB）會用一個MAP來記錄。這個MAP裡面記錄的1M Block在實體磁盤上不一定是連續的。但這個MAP所記錄的所有1M Block一定是同一個檔案的。可以了解為一個檔案是由N多個MAP中的1024個Block組成的，即FileSize：frombyte.com = N * MAP * 1024（Block）。

Vmware的快照其實就是一個檔案，還原快照也就意味着是删掉一個檔案。而在Vmfs檔案系統中，删除一個檔案隻會删掉檔案的索引項，而不會删掉檔案的實際資料以及指向資料的MAP。而我們要做的就是提取整個vmfs檔案系統中空閑的MAP，然後在空閑的MAP中找到一個符合快照檔案頭結構的MAP。然後根據快照檔案的結構，提取快照檔案剩下的碎片。提取完快照檔案後，需要将快照檔案和原vmdk合并生成新的vmdk。新的vmdk中包涵了所有的資料，接下來挂載新的vmdk解釋裡面的資料即可。

  随着虛拟化技術興起，越來越多的企業開始應用虛拟化技術。伴随的虛拟化故障也越來越多，但虛拟化的資料恢複技術在國内卻沒有幾家公司可以做,北亞資料恢複專注于虛拟化資料恢複技術研究，對虛拟化底層結構算法研究比較深入，可以解決虛拟化資料丢失出現的各類問題。

本文轉自 宋國建 51CTO部落格，原文連結：http://blog.51cto.com/sun510/1906414，如需轉載請自行聯系原作者