虛擬化技術(shù)原理是將硬件虛擬化給不同的虛擬機(jī)使用，利用虛擬化技術(shù)可以在一臺(tái)物理機(jī)上安裝多臺(tái)虛擬機(jī)。誤操作或者物理機(jī)器出現(xiàn)故障都會(huì)導(dǎo)致虛擬機(jī)不可用，虛擬機(jī)中的數(shù)據(jù)丟失。

虛擬化數(shù)據(jù)恢復(fù)環(huán)境：
有一臺(tái)虛擬機(jī)是由物理機(jī)遷移到ESXI上面的，遷移完成后為該虛擬機(jī)做了一個(gè)快照。虛擬機(jī)上運(yùn)行了一個(gè)SQL Server數(shù)據(jù)庫，記錄了5年左右的數(shù)據(jù)。
該ESXI上共有二十幾臺(tái)虛擬機(jī)，EXSI連接一臺(tái)某品牌EVA存儲(chǔ)，所有的虛擬機(jī)（包括故障虛擬機(jī)）都存放在該EVA存儲(chǔ)上。

虛擬機(jī)故障：
工作人員的誤操作將數(shù)年前剛遷移后做的快照給還原了。快照是數(shù)年前做完遷移時(shí)創(chuàng)建的，也就是說虛擬機(jī)數(shù)據(jù)還原到數(shù)年前了，近幾年更新的數(shù)據(jù)都被刪除了。
還原快照相當(dāng)于刪除數(shù)據(jù)，意味著底層的存儲(chǔ)空間會(huì)被釋放一部分。誤還原快照后，為了避免這部分釋放的空間被重新使用覆蓋，需要將連接這臺(tái)存儲(chǔ)的所有虛擬機(jī)都關(guān)機(jī)。如果有重要的虛擬機(jī)不能長(zhǎng)時(shí)間宕機(jī)，則需要將不能長(zhǎng)時(shí)間宕機(jī)的虛擬機(jī)遷移到別的EXSI上。剛好本例中有一臺(tái)虛擬機(jī)不能長(zhǎng)時(shí)間關(guān)機(jī)，只能做熱遷移。遷移完所有虛擬機(jī)后就著手開始恢復(fù)虛擬機(jī)數(shù)據(jù)了。

虛擬機(jī)數(shù)據(jù)恢復(fù)過程：
Tips：Vmware文件系統(tǒng)是Vmfs，所有的虛擬機(jī)都存放在Vmfs中。Vmfs默認(rèn)會(huì)將整個(gè)磁盤空間劃分為1M的Block，分配給文件的最小單位為一個(gè)Block。Vmfs中有一片區(qū)域描述這些1M Block的使用情況，而每1024個(gè)Block（也就是1GB）會(huì)用一個(gè)MAP來記錄。MAP記錄的1M的 Block在物理磁盤上不一定是連續(xù)的，但這個(gè)MAP所記錄的所有1M的Block一定是同一個(gè)文件的。即：一個(gè)文件是由N多個(gè)MAP中的1024個(gè)Block組成的，即FileSize = N * MAP * 1024（Block）。
Vmware的快照其實(shí)就是一個(gè)文件，還原快照也就是刪掉一個(gè)文件。在Vmfs中，刪除一個(gè)文件只會(huì)刪掉文件的索引項(xiàng)，而不會(huì)刪掉文件的實(shí)際數(shù)據(jù)以及指向數(shù)據(jù)的MAP。
1、備份過程在這里就不贅述了。備份完成后北亞企安數(shù)據(jù)恢復(fù)工程師編寫程序開始提取vmfs中空閑的MAP。
2、在空閑的MAP中找到一個(gè)符合快照文件頭結(jié)構(gòu)的MAP。
3、根據(jù)快照文件的結(jié)構(gòu)，提取快照文件剩下的碎片。
4、提取完快照文件后，將快照文件和原vmdk合并生成新的vmdk，新的vmdk中包含了所有的數(shù)據(jù)。
5、掛載新的vmdk并解釋vmdk中的數(shù)據(jù)。

審核編輯 黃宇