误删除VMware虚拟机vmdk文件恢复.pdfVIP

误删除VMware 虚拟机vmdk 文件的恢复 Dell R710 系列服务器（用于VMware 虚拟主机），Dell MD 3200 系列存储（用 于存放虚拟机文件），VMware ESXi 5.5 版本，因意外断电，导致某台虚拟机不 能正常启动，查看虚拟机的配置文件时发现此虚拟机的配置文件除了磁盘文件以 外其他配置文件全部丢失。此时xxx-flat.vmdk 磁盘文件和 xxx-000001-delta.vmdk 快照文件还存在。找VMware 工程师诊断后，尝试 新建一个虚拟机来解决故障，但发现ESXi 存储空间不足。因此就将故障虚拟机 下的xxx-flat.vmdk 磁盘文件删除了，这时ESXi 存储就有200 多G 的剩余空间 了，而后VMware 工程师就重新建了一个40G 的虚拟机，并且分配了固定大小的 虚拟磁盘，Windows Server 2008 （虚拟机操作系统），数据库应用环境SQL Server 2008 数据库服务器（管理宏桥和索菲两套应用数据库），虚拟机磁盘容量200G 数据盘（精简模式）+ 160G 快照数据盘。 一、故障分析 1、备份数据 在VMware vSphere Client 上将挂载的RD220i 存储中VMFS 卷以正常方式卸载 掉。然后将RD220i 存储上的VMFS 卷通过网线的方式连接到备份服务器上，接着 使用专业的工具将整个VMFS 卷以扇区的方式镜像到已准备的备份空间上，以确 保客户的数据安全，之后的分析和恢复操作均在备份的数据上进行。 2、分析故障原因 仔细分析VMFS 卷的底层数据发现，ESXi 主机的突然断电导致故障虚拟机目 录下的目录项出现破坏，但是这种破坏不会影响虚拟机的重要数据，只是破坏了 文件的目录项而已，可以通过人工修复即可解决。而人为删除某个文件的话，则 目录项对应的数据区索引会被清掉，也不会影响删除文件的实际数据。这种情况 可根据删除虚拟磁盘文件中的文件系统以及虚拟磁盘中的文件类型在VMFS 卷自 由空间中进行碎片匹配和合并，最终也可恢复删除的虚拟磁盘文件。但是在上述 的两种情况之下又新建了一台虚拟机，并且分配了虚拟磁盘。经过仔细分析发现 分配的40G 虚拟磁盘已经全部清零了（在创建虚拟磁盘的时候会选择创建磁盘的 类型），也是这个新建的虚拟机所占用的磁盘空间全部被清零。如果新虚拟磁盘 占用了删除虚拟机磁盘所释放的空间，那么此部分空间将无法恢复的。 如下图：（是故障虚拟机的目录项区域） 二、实施方向 1、实施方向一：恢复删除的VMDK 文件 根据删除虚拟磁盘文件中的文件系统以及虚拟磁盘中的文件类型在 VMFS 卷 的自由空间中进行碎片匹配和合并，最终恢复删除的虚拟磁盘文件，再利用快照 合并程序将快照文件和恢复的虚拟磁盘文件合并成一个完整的虚拟磁盘文件，然 后利用专业的文件系统解释工具解释虚拟磁盘文件中的所有文件。 2、实施方向二：恢复MSSQL 数据库文件 如果方向一实施的效果不太理想，接下来可根据SQL Server 数据库文件的结 构，对VMFS 卷自由空间中符合SQL Server 页结构的数据区域进行统计、分析和 聚合，最终生成一个可以正常使用的.MDF 格式的文件。 3、实施方向三：恢复MSSQL 数据库备份文件 由于数据库每天都在做备份，虽然每天一次增量备份，15 天一次全部备份。 但是如果上述两种方案实施过后还有一些数据库无法恢复的话，则只能利用恢复 备份文件来恢复数据库了。根据掌握的备份文件.bak 的结构，对VMFS 卷自由空 间中符合SQL Server 备份文件结构的数据区域进行统计、分析和聚合，最终生成 一个可以正常导入到SQL Server 数据库中.BAK 格式的文件。 三、恢复数据 1、方向一实施过程 按照方向一的思路进行底层分析，根据VMFS 卷的结构以及删除虚拟磁盘的 文件系统信息，在底层的自由空间中扫描符合删除虚拟机磁盘的区域，并统计其 数量和大小是否符合删除虚拟磁盘的大小。再根据虚拟磁盘中的文件系统的信息 将这些扫描到的碎片进行排列组合，结果发现中间有好多碎片缺失，仔细再对这 些缺失的碎片进行重新扫描，发现这些碎片确实没有找到。接着将扫描到的碎片 安照虚拟磁盘原本的顺序重组，对于没有找到的碎片暂且留空。接下来利用虚拟 磁盘快照程序将重组好的父盘和快照盘进行合并，生成一个新的虚拟磁盘。再用 专业工具解释虚拟磁盘中的文件系统，因缺失好多数据，文件系统解释过程中报 好多错误，提示某些文件损坏。 解释完的文件系统如下图： 在解析完文件系统