虛擬機技術作為虛擬化技術的一種，在現代信息技術領域扮演著重要角色。虛擬化技術的核心是將事物從一種形式轉變為另一種形式，它在多個方面都有廣泛應用。

常見的虛擬化技術，比如操作系統中的內存虛擬化。在實際運行過程中，用戶所需的內存空間往往遠超物理機器的內存大小。借助內存虛擬化技術，用戶能夠把一部分硬盤虛擬化為內存，且這一過程對用戶是透明的，用戶無需感知其中的變化。再如虛擬專用網技術（VPN），它可以在公共網絡中虛擬出一條安全、穩定的“隧道”，讓用戶仿佛在使用私有網絡。

盡管虛擬化技術看似是一種較為安全的數據存儲方式，但世上不存在絕對安全的存儲模式。一旦承載虛擬機的底層服務器或存儲出現故障，甚至服務器硬盤出現問題，都可能導致上層虛擬機無法使用，進而造成虛擬機內的數據丟失。此外，工作人員的誤操作也是虛擬機數據丟失的常見原因。今天，我們就來通過一個案例詳細介紹一下虛擬機誤刪除快照的數據恢復方法。

虛擬機故障
要進行數據恢復的虛擬機是在三年前從一臺物理服務器遷移到ESXI上的，遷移成功后做了一個快照。這臺ESXI上一共運行著26臺虛擬機，其底層存儲設備是某品牌的服務器。某天，工作人員不慎進行了還原快照操作，這使得虛擬機內的數據被還原到三年前剛遷移時的狀態，近三年的數據都被“刪除”了。
還原快照操作本質上和刪除數據是一樣的。虛擬機刪除快照后，會釋放底層存儲空間的相應位置，并將該部分空間重新用于存儲新數據。所以，如果虛擬機不小心還原了快照，應盡快將存儲上的所有虛擬機關機或遷移到其他ESXI上，以避免新數據覆蓋原有的數據。

vmfs文件系統底層結構
在介紹虛擬機誤刪除快照的數據恢復方法之前，我們先來了解一下vmfs文件系統的底層結構。vmfs是wmware虛擬化的自有文件系統，在這個文件系統中，所有硬盤默認被劃分為若干區域，這些區域的最小單位是block，每個block的容量為1MB。每1024個block組成一個MAP，這些信息都記錄在文件系統的特定區域內。每個map里的block在物理硬盤上的存儲順序并不連續，但同一個map里的所有block一定屬于同一個文件，其文件大小的計算公式為：FileSize：frombyte.com=N*MAP*1024（Block）。

北亞企安數據恢復—虛擬化數據恢復

利用vmfs文件系統特性恢復數據
vmfs文件系統的另一個特性對恢復虛擬機數據很有幫助。在這個文件系統中，如果某文件被刪除，在底層數據層面只是刪除了文件的索引項，實際的數據內容以及指向數據的map并未被刪除。
1、首先，北亞企安數據恢復工程師會將整個文件系統里的所有空閑map提取出來，然后找出符合快照文件頭結構的map。
2、根據文件結構，繼續提取剩下的文件碎片。
3、將所有數據提取完成后，結合原有的vmdk合成一個新的vmdk。
4、把新合成的vmdk文件掛載起來，解析里面的數據，這樣就完成了虛擬機的數據恢復。

審核編輯 黃宇