Linux虚拟机丢失了不要慌，绝大多数情况下数据还能找回来，但能不能找回、找回多少，取决于你丢的是什么、丢完之后做了什么操作，以及有没有提前留备份。
很多人一打开虚拟机管理界面，发现列表空了，或者启动时报错磁盘找不到，第一反应就是“完了，数据没了”，其实虚拟机的“丢失”分很多种，有些是配置文件坏了，有些是磁盘镜像文件被误删，还有些是整块宿主机硬盘出了问题，对应的恢复思路完全不一样,下面一步步理清楚。
虚拟机消失之前，先搞清楚它是怎么“丢”的
虚拟机不像物理机，它由一组文件组成，分散在宿主机磁盘上，所谓“丢失”，本质上就是这组文件出了问题，行业共识认为，大部分虚拟机丢失属于以下三类情况,你可以据此判断自己遇到的是哪一种。
- 虚拟机配置层面丢失：VMware里虚拟机列表显示“已移除”或“找不到”，但存放虚拟机的目录还在，里面的vmdk文件也在，这种情况恢复成本最低,重新注册一下虚拟机就能用。
- 磁盘镜像文件损坏或误删：qcow2、vmdk、vhdx这些虚拟磁盘文件被删除，或者因为宿主机异常断电导致文件系统损坏，数据能不能找回来，理想状态是能完全恢复,但也有可能只能找回部分文件。
- 宿主机文件系统级故障：整个Linux宿主机因为分区表损坏、格式化误操作、RAID阵列降级等原因，所有虚拟机文件都看不到了，这种情况恢复难度最大,但也不是完全没有希望。
判断方法很简单：登录宿主机，用df -h看看分区还在不在，再用ls -l /var/lib/libvirt/images/（KVM虚拟机默认路径）或者你自定义的存储路径，看看虚拟磁盘文件还在不在，文件还在,问题就解决了一半。
虚拟机数据还能找回吗，关键看这三个条件
不是所有丢失的数据都能恢复,下面的判断逻辑直接决定你要不要花钱找专业机构。
丢失后你有没有往磁盘里写入新数据
这是最核心的一条，数据删除并不意味着从物理磁盘上消失，只是把文件系统的索引标记为“已释放”，只要没被新数据覆盖，恢复软件就能顺着磁盘残留的内容把文件抠出来，你丢完虚拟机之后又继续拷贝文件、安装软件、编译代码，这些写入操作都有可能把原来存放vmdk的扇区覆盖掉，一旦覆盖,神仙来了也救不回来。
发现虚拟机丢失之后，第一时间停止一切写入操作，包括挂载新分区、启动其他虚拟机、跑fstrim，如果条件允许，最好直接把宿主机关机,把硬盘拆下来挂到另一台机器上做只读挂载。
磁盘镜像文件本身是什么格式
- raw格式：裸磁盘格式，没有元数据开销，恢复起来最容易,类似恢复一个普通的大文件。
- qcow2格式：KVM默认格式，有快照链和引用计数机制，如果文件系统由多个qcow2的overlay层串联而成，只要基础镜像还在，恢复上层数据相对轻松；如果底层被破坏,恢复难度会明显提升。
- vmdk格式：VMware默认格式，分单文件和多文件两种，多文件vmdk由1GB大小的分片组成，只要大部分分片完整,数据恢复成功率较高。
虚拟机是克隆还是链接克隆
链接克隆的虚拟机本身只存增量数据，基础镜像一旦损坏，所有链接克隆的虚拟机都会出问题，恢复时必须先找回基础镜像，再处理它的增量层，这一点常常被忽略，很多人在恢复时强行去扫描链接克隆的节点文件,结果基础镜像上的数据完全没有头绪。
Linux虚拟机数据恢复实操，四个方向按顺序排查
下面这四步按照从简单到复杂的顺序排列，每做完一步就检查一步,不要跳过。
先检查虚拟化管理器的“已删除”或快照
如果是KVM/libvirt环境，在宿主机执行virsh list --all看看虚拟机是否被误下线了，如果状态是“关闭”而不是“已删除”，直接virsh start 虚拟机名称就能恢复运行。
更关键的是快照，KVM的快照有两种：磁盘快照和内存快照。virsh snapshot-list 虚拟机名称可以列出所有磁盘快照，如果虚拟机文件本身还在，只是配置丢了，通过快照回滚能恢复到某个时间点的状态，VMware同样如此，直接在快照管理器里选择快照进行恢复,不必动到底层文件。
目录还在但磁盘文件不见了，用testdisk扫描分区
如果你确定目录还在，但里面的vmdk或qcow2文件消失，这时候千万不要在这个分区上新建任何文件，直接安装testdisk工具,对分区做深度扫描。
sudo apt install testdisk # Debian/Ubuntu sudo yum install testdisk # CentOS/RHEL sudo testdisk /dev/sdb # 替换为你的实际磁盘
选择分区表类型、选择磁盘、选择“Advanced”模式，进入“Undelete”菜单，找到被标记为“已删除”的虚拟磁盘文件，把它复制到另一块干净磁盘上，testdisk恢复出来的文件，复制时优先找个头大、header符合qcow2/vmdk特征的文件，文件名可能会失去原始命名,需要通过大小和文件头去辨别。
如果整个目录被删了，先查回收站和文件系统日志
不同桌面环境回收站路径不同，如果是GNOME：/root/.local/share/Trash/，KDE则是/root/.local/share/Trash/，路径一致，但需要注意的是，Linux的回收站机制只在图形界面删除时生效，命令行rm -rf删除的文件直接绕过回收站。
此时可以尝试用extundelete恢复ext4文件系统下的文件：
sudo extundelete /dev/sda1 --restore-all --after 日期
extundelete在inode未被覆盖时效果不错，操作时一定要用--output指定输出目录到独立磁盘，避免覆盖原分区，如果宿主机文件系统是xfs，恢复工具选择会少一些，xfs_undelete并不存在，这种情况下优先考虑通过备份恢复,或者交给数据恢复机构。
物理磁盘级别恢复，这是最终的退路
如果以上方法全部无效，说明文件的目录项已经严重受损，此时直接把整个磁盘做成镜像,用dd工具按扇区读取：
sudo dd if=/dev/sda of=/mnt/备份盘/镜像.img bs=4M status=progress
镜像完成后，把镜像挂载到另一台Linux机器上，用losetup关联成回环设备，再尝试挂载分区，如果分区表损坏，可以尝试用testdisk的“Analyse”功能重建分区表，配合photorec按文件签名恢复vmdk或qcow2的关键数据,擅长按文件尾部特征拼接数据。
这套“dd镜像+losetup+photorec”的组合，是多数情况下服务器系统损坏时专业机构使用的标准流程，自己操作有风险，每一步都建议在离线镜像副本上进行,不要在原始磁盘上直接改动。
数据找回之后，备份策略才是止损的根本
说句实在话，如果你等到虚拟机丢了才开始考虑恢复方案，即便这次找回来了，下次再丢大概率没有运气这么好，真正让数据“找不回”的不是虚拟机消失,而是从来没有备份。
运维层面比较到位的备份方案大概包括这几个等级：
- 虚拟机配置备份：每天把libvirt的xml配置文件导出一份，放在独立存储上，
virsh dumpxml 虚拟机名称 > /backup/vm.xml，配置丢了随时可以重建,成本几乎为零。 - 磁盘镜像快照：定期用
virsh snapshot-create-as创建快照，快照放在不同于原镜像的存储池上,避免宿主机整体故障时快照和原镜像一起阵亡。 - 离线异地备份：每月一次把整个虚拟机的qcow2/vmdk文件用rsync同步到另一台物理机或云存储上,异地备份能防御最极端的宿主机物理损坏场景。
- 应用层数据备份：数据库、代码仓库、配置文件等关键业务数据，单独用备份工具（如mysqldump、pg_dump）每日导出，这样即便整个虚拟机的底层文件无法恢复,业务数据仍然存活。
备份策略的优先级排序，业内专家指出：应用层备份大于磁盘镜像快照，磁盘镜像快照大于虚拟机配置文件备份，应用层备份有最精确的数据结构，镜像快照恢复速度最快，配置文件备份则是最廉价的安全垫，三者都有,才勉强算得上万无一失。
Q&A：关于虚拟机数据恢复的几类高频问题
虚拟机文件删除还能恢复吗
可以，但取决于删除后的写入量，文件被删除后，内容实际还在磁盘上，直到被新数据覆盖，恢复手法上，优先用testdisk扫删失的分区结构，其次用extundelete恢复删除的文件索引，最不济用photorec按文件签名扫描整个磁盘，每多等一分钟,数据覆盖概率就多一分。
linux虚拟机恢复数据费用高吗
数据恢复费用取决于故障类型、磁盘大小和紧急程度，逻辑层面的文件误删，自行动手只需要一个测试盘，没有额外成本，物理盘损坏或阵列崩溃，需要送到专业数据恢复机构开盘处理，费用通常在数千元到数万元之间，这里的判断标准是：你能接受花多少钱，去换取这些数据带来的收益，如果虚拟机里只是测试环境,重建的成本往往低于恢复的成本。
虚拟机磁盘文件彻底格式化后还能找回吗
格式化分两种，快速格式化和完全擦除，快速格式化只重建了文件系统索引，并不真正清空数据，只要格式化后没有大量写入，恢复的可能性较大，完全擦除或覆盖了全盘零字节数据，物理上基本无法恢复，重建文件系统索引后，恢复工具需要从磁盘的原始扇区中去匹配文件碎片，成功率随写入量递减，越是老旧的、机械硬盘存储的数据，恢复可能性越大；SSD因为TRIM机制的存在,被格式化后长时间不写也可能已经丢失。
虚拟机丢失这件事，多数情况下数据并不等于完全消失，但也不等于一定能完整找回，唯一能确定的止损方式，永远是提前定义好备份策略，分配好备份资源，如果你现在手上正有一台重要虚拟机没有备份，建议去数据中心把备份这个环节补上,这件事花不了太多时间。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/763376.html
