服務(wù)器數(shù)據(jù)恢復(fù)-vmware虛擬機(jī)誤還原快照的數(shù)據(jù)恢復(fù)案例

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
從物理機(jī)遷移一臺(tái)虛擬機(jī)到ESXI，遷移后做了一個(gè)快照。該虛擬機(jī)上部署了一個(gè)SQLServer數(shù)據(jù)庫(kù)，存放了5年左右的數(shù)據(jù)。ESXI上有數(shù)十臺(tái)虛擬機(jī)，EXSI連接了一臺(tái)EVA存儲(chǔ)，所有的虛擬機(jī)都在EVA存儲(chǔ)上。

服務(wù)器故障：
由于工作人員的誤操作，不小心將幾年前遷移數(shù)據(jù)后做的快照還原了。因?yàn)榭煺帐菐啄昵白龅?，還原快照意味著這幾年的數(shù)據(jù)被刪除了。
還原快照相當(dāng)于刪除數(shù)據(jù)，底層的空間會(huì)被釋放。為了避免這部分釋放的空間寫入新數(shù)據(jù)，需要將連接這臺(tái)存儲(chǔ)的所有虛擬機(jī)都關(guān)掉。如果有重要的虛擬機(jī)不能長(zhǎng)時(shí)間宕機(jī)，則需要將該虛擬機(jī)遷移到別的EXSI上。剛好用戶有一臺(tái)虛擬機(jī)很重要，不能長(zhǎng)時(shí)間關(guān)機(jī)，只能做熱遷移。vmware的熱遷移需要建立N多個(gè)快照來(lái)完成，這給后期的恢復(fù)工作帶來(lái)很多麻煩。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
Vmware的文件系統(tǒng)叫做Vmfs，所有的虛擬機(jī)都存放在這個(gè)Vmfs中。Vmfs默認(rèn)將磁盤分成1M的Block，分配給文件的最小單位為一個(gè)Block。Vmfs有一片區(qū)域來(lái)描述這些1M Block的使用情況，而每1024個(gè)Block（也就是1GB）會(huì)用一個(gè)MAP來(lái)記錄。MAP記錄的1M Block在物理磁盤上不一定是連續(xù)的。但一個(gè)MAP所記錄的所有1M Block一定是同一個(gè)文件的。一個(gè)文件是由N多個(gè)MAP中的1024個(gè)Block組成的，即FileSize= N * MAP * 1024（Block）。
Vmware的快照其實(shí)就是一個(gè)文件，還原快照也就意味著是刪掉一個(gè)文件。在Vmfs中，刪除一個(gè)文件只會(huì)刪掉文件的索引項(xiàng)，而不會(huì)刪掉文件的實(shí)際數(shù)據(jù)以及指向數(shù)據(jù)的MAP。
1、將故障服務(wù)器中所有磁盤編號(hào)后取出，以只讀方式將所有磁盤做全盤鏡像備份，備份完成后按照編號(hào)將磁盤還原到原服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析Vmfs，北亞企安數(shù)據(jù)恢復(fù)工程師編寫小程序提取整個(gè)vmfs中空閑的MAP。
3、在提取出的空閑MAP中找到一個(gè)符合快照文件頭結(jié)構(gòu)的MAP。根據(jù)快照文件的結(jié)構(gòu)，北亞企安數(shù)據(jù)恢復(fù)工程師調(diào)整程序提取快照文件剩下的碎片。
4、快照文件提取完成后，將快照文件和原vmdk合并生成新的vmdk，新的vmdk中包含了所有的數(shù)據(jù)。
5、掛載新的vmdk并解釋其中的數(shù)據(jù)。
6、用戶對(duì)恢復(fù)出來(lái)的數(shù)據(jù)進(jìn)行驗(yàn)證，經(jīng)過(guò)反復(fù)驗(yàn)證確認(rèn)恢復(fù)出來(lái)的數(shù)據(jù)完整可用。本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇