虛擬機數(shù)據(jù)恢復(fù)環(huán)境&故障：
由一臺物理服務(wù)器遷移到ESXI上的虛擬機，虛擬機遷移完成后做了一個快照，該ESXI上面一共運行了數(shù)十臺虛擬機。某天工作人員不小心將快照進行了還原，虛擬機內(nèi)的數(shù)據(jù)還原到了數(shù)年前剛遷移過來時的狀態(tài)，遷移過來后的這幾年更新的數(shù)據(jù)全部被刪除。
虛擬機還原快照與刪除數(shù)據(jù)在本質(zhì)上是一樣的，虛擬機刪除快照后會將底層存儲空間相應(yīng)的空間釋放，然后重用這部分釋放出來的空間存儲新的數(shù)據(jù)。所以，如果一臺虛擬機不小心還原了快照，應(yīng)該盡快將還原快照的虛擬機所在存儲上的所有虛擬機關(guān)機或遷移到其他ESXI上。
要恢復(fù)虛擬機數(shù)據(jù)，我們需要先了解vmfs的底層結(jié)構(gòu)，vmfs是wmware自有文件系統(tǒng)，在這個文件系統(tǒng)下所有的硬盤被默認劃分為若干個區(qū)域，這些區(qū)域最小單位被稱為“block”，每個block的大小為1MB，每1024個block組成一個MAP，這些信息都記錄在文件系統(tǒng)的某一個特定區(qū)域內(nèi)。每個map中的block在物理硬盤上的存儲順序是不連續(xù)的，但每個map中的所有block一定是屬于一個文件的，即FileSize=N×MAP×1024（Block）。

北亞企安數(shù)據(jù)恢復(fù)——虛擬機數(shù)據(jù)恢復(fù)

虛擬機數(shù)據(jù)恢復(fù)過程：
vmfs中如果某文件被刪除，在底層數(shù)據(jù)中只是刪除了該文件的索引項，實際數(shù)據(jù)內(nèi)容和指向數(shù)據(jù)map并沒有被刪除。
1、使用北亞企安自研的數(shù)據(jù)提取工具將整個文件系統(tǒng)里面的所有空閑map提取出來。
2、在提取出來的map中找到符合快照文件頭結(jié)構(gòu)的map。
3、根據(jù)文件結(jié)構(gòu)提取剩下的文件碎片。
4、將所有數(shù)據(jù)提取完成后，結(jié)合原有的vmdk合成一個新的vmdk。
5、掛載新合成的vmdk文件，解釋該vmdk文件里面的數(shù)據(jù)即可。

審核編輯 黃宇