服務(wù)器虛擬化數(shù)據(jù)恢復(fù)環(huán)境：
故障虛擬機是由物理機遷移到ESXI，遷移完成后做了一個快照。
故障虛擬機上運行的是一個sql server數(shù)據(jù)庫，記錄了近5年的數(shù)據(jù)。
ESXI上有二十多臺虛擬機，EXSI連接一臺HP EVA存儲，所有的虛擬機（包括故障虛擬機）都放在這臺EVA存儲上。

北亞數(shù)據(jù)恢復(fù)——ESXI數(shù)據(jù)恢復(fù)

服務(wù)器虛擬化故障&分析：
由于誤操作不小心將3年前的快照還原了，即把虛擬機還原到3年前的狀態(tài)，最近3年的數(shù)據(jù)都被刪除了。
虛擬機還原快照意味著刪除數(shù)據(jù)，釋放底層的存儲空間。為了不讓這部分空間被重新利用，需要將連接這臺存儲的所有虛擬機都關(guān)機。如果有重要的虛擬機不能長時間關(guān)機，可以遷移到別的EXSI上。本案例剛好有一臺虛擬機運行關(guān)鍵業(yè)務(wù)不能關(guān)機，只能做熱遷移。由于vmware熱遷移需要建立多個快照來完成，而這會給后期的恢復(fù)快照工作帶來額外的困難。遷移完所有虛擬機后按照北亞數(shù)據(jù)恢復(fù)流程需要對底層的EVA存儲做完整鏡像，但是由于用戶比較著急，而鏡像整個存儲時間太長，只能將EVA存儲以只讀的方式掛載到一臺北亞備份服務(wù)器上以只讀的方式恢復(fù)數(shù)據(jù)。

服務(wù)器虛擬化數(shù)據(jù)恢復(fù)過程：
Vmware的文件系統(tǒng)叫做Vmfs，所有的虛擬機都存放在這個文件系統(tǒng)中。Vmfs文件系統(tǒng)會默認(rèn)將整個磁盤劃分成1M的Block，分配給文件的最小單位就是一個Block。Vmfs文件系統(tǒng)中會有一片區(qū)域描述這些1M Block的使用情況，每1024個Block（也就是1GB）會用一個MAP來記錄。這個MAP里面記錄的1M Block在物理磁盤上不一定是連續(xù)的，但這個MAP所記錄的所有1M Block一定是同一個文件的。換句話說：一個文件是由N多個MAP中的1024個Block組成的，即FileSize = N * MAP * 1024（Block）。

Vmware快照就是一個文件，還原快照就是刪掉一個文件。在Vmfs文件系統(tǒng)中刪除一個文件只會刪掉文件的索引項，而不會刪掉文件的實際數(shù)據(jù)以及指向數(shù)據(jù)的MAP。

1、提取整個vmfs文件系統(tǒng)中空閑的MAP。
2、空閑的MAP中找到一個符合快照文件頭結(jié)構(gòu)的MAP。
3、根據(jù)快照文件的結(jié)構(gòu)提取快照文件剩下的碎片。
4、提取完快照文件后將快照文件和原vmdk合并生成新的vmdk，新的vmdk中包含了所有的數(shù)據(jù)。
5、掛載新的vmdk并解釋里面的數(shù)據(jù)即可恢復(fù)還原快照之前的數(shù)據(jù)。

審核編輯 黃昊宇