虛擬機數據恢復環境：

ESXI上共有數十臺虛擬機，EXSI連接一臺HP EVA存儲，所有虛擬機都存放在該EVA存儲上。

其中一臺虛擬機是數年前從物理機遷移過來的，其上部署了一個SQL SERVER數據庫，該數據庫存放了最近幾年的數據。

虛擬機故障&分析：

工作人員的誤操作不小心還原快照了。這個快照是數年前做完數據遷移后新建的，還原快照就意味著虛擬機數據還原到幾年前剛做完數據遷移時的狀態，近幾年的數據都被刪除了。

還原快照相當于刪除數據，意味著底層的存儲空間會被釋放。為了不讓這部分釋放的空間被新寫入的數據重新使用，必須將連接到這臺EVA存儲的所有虛擬機都關機。如果有非常重要的虛擬機不能長時間關機，就需要將這些重要的虛擬機遷移到別的EXSI上。剛好本案例中有一臺虛擬機不能關機，只能做熱遷移。vmware虛擬機的熱遷移需要建立多個快照來完成。

Tips：

Vmware的文件系統是Vmfs，所有的虛擬機都存放在這個文件系統中。Vmfs會默認將整個磁盤分成1M的Block(分配給文件的最小單位為Block)。Vmfs中有一片區域描述這些1M Block的使用情況，而每1024個Block(也就是1GB)會用一個MAP來記錄。這個MAP里面記錄的1M Block在物理磁盤上不一定是連續的。但這個MAP所記錄的所有1M Block一定是同一個文件的。可以理解為一個文件是由N多個MAP中的1024個Block組成的，即FileSize：= N * MAP * 1024(Block)。

Vmware的快照其實就是一個文件，還原快照相當于刪掉一個文件。在Vmfs中刪掉一個文件只會刪掉該文件的索引項，不會刪掉文件的實際數據以及指向數據的MAP。

虛擬機數據恢復過程：

1、根據Vmware快照原理，提取整個vmfs中空閑的MAP。

2、北亞企安數據恢復工程師在空閑的MAP中找出符合快照文件頭結構的MAP。

3、根據快照文件的結構，提取快照文件剩下的碎片。

4、完成快照文件的提取后，北亞企安數據恢復工程師將快照文件和原vmdk合并生成新的vmdk。

5、新生成的vmdk包含了所有的數據，掛載新的vmdk并解釋里面的數據。