虛擬化技術原理是將硬件虛擬化供不同的虛擬機使用，一臺物理機上可以有多臺虛擬機。人為誤操作或者物理機故障會導致上層虛擬機不可用，甚至虛擬機里的重要數據丟失。下面給大家分享一個vmware虛擬化誤操作還原快照的數據恢復案例。

虛擬化數據恢復環境：
一臺由物理機遷移到EXSI上面的虛擬機，遷移完成后做了一個快照。該虛擬機上運行SQL Server數據庫，記錄了幾年的數據。
EXSI虛擬化平臺上一共有數十臺虛擬機，EXSI連接了一臺EVA存儲，所有的虛擬機（包括故障虛擬機）都放在EVA存儲上。

北亞企安數據恢復—虛擬機數據恢復

虛擬化故障：
由于工作人員的誤操作，不小心將幾年前遷移完成后做的快照給還原了。也就是說虛擬機還原到幾年前做快照時候的狀態了，近幾年的數據都沒了。

虛擬化故障分析：
還原快照等同于刪除數據，底層存儲空間會被釋放一部分。為了不讓EVA存儲上這部分釋放的空間被重用，需要將連接這臺存儲的所有虛擬機都關掉。如果有重要的虛擬機不能長時間宕機，需要將這些重要的虛擬機遷移到其他的EXSI上。剛好本案例中有一臺虛擬機不能關機，只能做熱遷移。vmware的熱遷移需要建立多個快照來完成，這給后期的恢復工作帶來很多額外的阻礙。完成虛擬機的遷移后，將EVA存儲以只讀的方式掛載到一臺服務器上。將EVA存儲中所有數據完整鏡像到這臺服務器上，后續的數據分析和數據恢復都基于這臺服務器上的鏡像數據進行。
Vmware的文件系統叫Vmfs，所有虛擬機都存放在這個文件系統中。Vmfs將整個磁盤分成1M的Block，分配給文件的最小單位為一個Block。Vmfs中會有一片區域描述這些1M Block的使用情況，而每1024個Block（也就是1GB）會用一個MAP來記錄。這個MAP里面記錄的1M Block在物理磁盤上不一定是連續的。
但這個MAP所記錄的所有1M Block一定是同一個文件的。一個文件是由多個MAP中的1024個Block組成的，即文件大小 = MAP數量 * 1024（Block）。
Vmware的快照其實就是一個文件，還原快照也就是刪掉一個文件。而在Vmfs中，刪除一個文件只會刪掉文件的索引項，而不會刪掉文件的實際數據以及指向數據的MAP。

北亞企安數據恢復—虛擬機數據恢復

虛擬化數據恢復過程：
1、提取vmfs中空閑的MAP，在空閑的MAP中找到一個符合快照文件頭結構的MAP。
2、根據快照文件的結構，提取快照文件剩下的碎片。
3、快照文件提取完成后，將快照文件和原vmdk合并生成新的vmdk。
4、新的vmdk中包含了所有的數據，掛載新的vmdk&使用北亞企安自主開發程序解釋vmdk中的數據即可。

虛擬化恢復數據驗證：
由于做過虛擬機的熱遷移，所以有幾個快照文件碎片被重用了，恢復的數據中最新的數據不可用。由于SQL Server數據庫每天都做備份，雖然最新的數據不可用，但是備份的數據可用，用戶方接受恢復結果。

北亞企安數據恢復—虛擬機數據恢復

審核編輯 黃宇