kvm虚拟机删除后数据能恢复吗？直接说结论：只要磁盘镜像文件还在，或者被删除的数据还没被物理覆盖，恢复机会就存在；如果连带存储层一并销毁，恢复难度陡增，但多数场景下仍有不少操作空间。
kvm虚拟机删除后数据能恢复吗？先分清“删了什么”
很多朋友一看到虚拟机没了就慌，其实kvm删除虚拟机有不同层次，数据是否可恢复,取决于你触碰到了哪一层。
删除虚拟机其实分三步
- 删除定义：执行
virsh undefine vm-name，只移除libvirt中的XML配置,磁盘文件留在原地。 - 关停运行：执行
virsh destroy vm-name，强制关闭运行中的虚拟机,但定义和磁盘还在。 - 销毁存储：执行
virsh undefine vm-name --remove-all-storage，把磁盘镜像一并删除，这才是真正的“连锅端”。
| 操作类型 | 虚拟机定义 | 磁盘镜像 | 数据可恢复性 |
|---|---|---|---|
| virsh destroy | 保留 | 保留 | 完全可恢复 |
| virsh undefine | 删除 | 保留 | 轻松恢复 |
| undefine –remove-all-storage | 删除 | 删除 | 需专业恢复手段 |
恢复可能性有多大
行业共识认为，kvm虚拟机误删恢复的场景中，多数情况下只要能停止写入、及时备份当前存储介质，找回关键数据的概率相当大,前提是你没对原存储区域做过大量写操作。
kvm虚拟机误删恢复：三条实操路径
如果你已经删了虚拟机，别急着重新部署新系统,先按下面顺序排查。
从libvirt配置中找回“户口”
很多初学者删除虚拟机时只删了定义，数据浑然无损,检查一下：
virsh list --all ls -l /etc/libvirt/qemu/
如果/etc/libvirt/qemu/目录下还有旧的XML文件，直接用virsh define /etc/libvirt/qemu/vm-name.xml重新导入，虚拟机就回来了，XML文件在,存储池路径基本不会丢。
磁盘镜像还在，手动挂载提取数据
镜像文件如果落在默认存储池路径/var/lib/libvirt/images/，你只是执行了
virsh undefine没带--remove-all-storage参数，那数据就是完整的,直接把qcow2文件重新挂载即可。
qemu-nbd --connect=/dev/nbd0 /var/lib/libvirt/images/vm-disk.qcow2 mount /dev/nbd0p1 /mnt/recover
挂载成功就能直接把数据拷出来，前提是系统里有nbd模块,多数发行版默认支持。
磁盘文件被删，走文件系统层恢复
连镜像文件都没了，就得动用底层的文件恢复工具，这类工具本身依赖你的存储格式而定，需要先弄清楚存储落在哪个分区、哪种文件系统上。
| 文件系统 | 可用恢复手段 | 适用场景 |
|---|---|---|
| ext4 | extundelete | 常规硬盘场景 |
| xfs | xfs_undelete | 大文件连续读写场景 |
| LVM | vgcfgrestore | 逻辑卷元数据被破坏 |
| NFS | rsnapshot | 网络存储备份场景 |
操作前务必备份整块物理磁盘的块级镜像：
dd if=/dev/vg0/lv0 of=/安全位置/backup.img bs=4M
镜像做完了再针对镜像文件跑恢复工具,避免反复读写原盘导致覆盖。
云主机场景的恢复思路
如果你用的是云厂商的kvm虚拟机，恢复路径完全不同，绝大多数云控制台提供快照回滚和回收站功能，业内专家指出，开通快照策略的实例，误删后往往能通过回滚快照直接找回数据,前提是你创建过快照。
登录控制台，找“云硬盘”或“快照”菜单，看看有没有历史快照，很多服务商默认保留7天回收站，这个入口比你想象中重要,许多人往往忽视云控制台自带的回收站功能。
kvm删除虚拟机命令的正确顺序与注意事项
以后删除虚拟机，按照正确顺序操作,能少很多麻烦。
推荐的安全删除步骤
- 先备份：把
/var/lib/libvirt/images/下的qcow2文件用rsync或scp拷到别的机器。 - 导出配置：
virsh dumpxml vm-name > /root/vm-name.xml.bak,留个文本凭证。 - 正常关机：
virsh shutdown vm-name，哪怕是最终想销毁的机器，也建议先正常关机,确保文件系统处于一致状态。 - 删除定义：
virsh undefine vm-name，不带--remove-all-storage参数。 - 确认磁盘文件保留后,再手动决定是否删除磁盘文件。
注意事项里最容易被忽略的几件事
- 快照链，删除前查看
virsh snapshot-list vm-name，如果存在快照，父盘和子盘之间有依赖关系,直接删可能连带破坏备份链。 - 共享存储，如果磁盘文件在iSCSI或Ceph上，删除定义不会动存储,但存储端的快照机制需要另行清理。
- 开机自启，确认
virsh dominfo vm-name里的“自动启动”状态，避免等于“删了个寂寞”。 - 存储池隔离，不要把虚拟机磁盘放在系统盘根分区，一旦系统分区满了，恢复难度会直接翻倍,因为元数据写入会覆盖被删除的文件块。
kvm虚拟化数据恢复中容易忽略的坑
即便你按上文操作了，数据恢复这件事仍然可能翻车,下面几个坑大家普遍都踩过。
覆盖写入是恢复的头号杀手
误删之后，你去新建了一个虚拟机、创建了一个大文件、或者给宿主机的系统做了yum update，这些操作都会往磁盘上写新数据，新数据一旦落盘，原有被删除的磁盘块就可能被覆盖,恢复概率断崖式下降。
正确的做法是：误删后立刻卸载该分区，或者直接用只读方式挂载，停止宿主机上的无关服务。
逻辑卷删除后不只是文件层面的事
很多生产环境用的是LVM方案，也就是虚拟机磁盘直接建在逻辑卷上，如果lvremove执行过，除了文件系统需要恢复，LVM元数据本身也需要重新找回来，这时候光用extundelete就不好办了，得靠vgcfgrestore先把卷组结构还原。
vgcfgrestore --list vg0 vgcfgrestore --force vg0
执行前一定要用--list确认备份文件的时间点和目标卷名称匹配。
恢复出来的文件不一定能直接启动
kvm虚拟机删除后数据能恢复吗，有时答案是“能恢复文件，但起不来虚拟机”，因为虚拟机管理程序依赖于UUID、云init配置、网络接口定义，XML配置丢了，你只是拷出了裸盘文件，还需要用
virt-customize重新配置系统引导和驱动。
virt-customize -a restored.qcow2 --root-password password:新密码 virt-install --import --name recovered-vm --disk restored.qcow2 --cpu host --memory 2048 --vcpus 2 --network bridge:br0
这种“间接恢复”的方式，数据完整程度理论上可达100%，但能拿回来的前提是，磁盘文件本身没坏、没被压缩损坏，比如基于qcow2的写时复制中间层有缺失,这种恢复就需要超长时间的手工修复了。
数据恢复不是碰运气，是拼预防
如果做足够多的事前准备，kvm虚拟机删除后数据能恢复吗这个问题的标准答案是：大概率能恢复，且恢复得完整。备份策略永远比救急技术更有效，给生产环境主机开启定期快照、把关键应用目录异地拷贝一份、定期验证备份的可启动性，这三件事随便做到一件,误删虚拟机都不算灾难。
现实中，很多中小团队连virsh undefine和rm之间的关系都没弄清，更别说存储层的写时序了，希望这篇内容能帮你把kvm虚拟化数据恢复这件事的流程跑通,别在真正丢数据那天才开始查命令手册。
kvm虚拟机删除后数据能恢复吗常见问题解答
virsh undefine会删除磁盘吗？
不会。virsh undefine只删除虚拟机的XML定义文件和libvirt中的记录，磁盘镜像文件默认保留在存储池中，除非追加--remove-all-storage参数，否则数据完整存在，随时可以重新virsh define回来。
没有快照的kvm虚拟机误删后多久内恢复成功率最高？
越早动手越好，理想情况是误删后立刻停止一切写入操作并备份磁盘块级镜像，恢复工具在未覆盖的原数据区域捞出完整文件的概率较高，拖得越久，其他服务写盘次数越多,数据越零碎。
kvm虚拟化数据恢复工具去哪里下载？
extundelete和xfs_undelete在主流Linux发行版基础软件仓库都可直接安装，通过yum install或apt install即可获取，无需付费，开箱即用，如果你的存储层面涉及Ceph RBD或ZFS，则需要借助存储端自带的快照机制和rados recover等工具,这类场景直接联系存储运维人员更稳妥。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/735945.html
