虛擬機數(shù)據(jù)恢復環(huán)境&故障：
由一臺物理服務器遷移到ESXI上的虛擬機，虛擬機遷移完成后做了一個快照，該ESXI上面一共運行了數(shù)十臺虛擬機。某天工作人員不小心將快照進行了還原，虛擬機內(nèi)的數(shù)據(jù)還原到了數(shù)年前剛遷移過來時的狀態(tài)，遷移過來后的這幾年更新的數(shù)據(jù)全部被刪除。
虛擬機還原快照與刪除數(shù)據(jù)在本質(zhì)上是一樣的，虛擬機刪除快照后會將底層存儲空間相應的空間釋放，然后重用這部分釋放出來的空間存儲新的數(shù)據(jù)。所以，如果一臺虛擬機不小心還原了快照，應該盡快將還原快照的虛擬機所在存儲上的所有虛擬機關機或遷移到其他ESXI上。
要恢復虛擬機數(shù)據(jù)，我們需要先了解vmfs的底層結構，vmfs是wmware自有文件系統(tǒng)，在這個文件系統(tǒng)下所有的硬盤被默認劃分為若干個區(qū)域，這些區(qū)域最小單位被稱為“block”，每個block的大小為1MB，每1024個block組成一個MAP，這些信息都記錄在文件系統(tǒng)的某一個特定區(qū)域內(nèi)。每個map中的block在物理硬盤上的存儲順序是不連續(xù)的，但每個map中的所有block一定是屬于一個文件的，即FileSize=N×MAP×1024（Block）。

北亞企安數(shù)據(jù)恢復——虛擬機數(shù)據(jù)恢復

虛擬機數(shù)據(jù)恢復過程：
vmfs中如果某文件被刪除，在底層數(shù)據(jù)中只是刪除了該文件的索引項，實際數(shù)據(jù)內(nèi)容和指向數(shù)據(jù)map并沒有被刪除。
1、使用北亞企安自研的數(shù)據(jù)提取工具將整個文件系統(tǒng)里面的所有空閑map提取出來。
2、在提取出來的map中找到符合快照文件頭結構的map。
3、根據(jù)文件結構提取剩下的文件碎片。
4、將所有數(shù)據(jù)提取完成后，結合原有的vmdk合成一個新的vmdk。
5、掛載新合成的vmdk文件，解釋該vmdk文件里面的數(shù)據(jù)即可。

審核編輯 黃宇