Oporavak VHDX datoteke: kako spasiti Hyper-V virtualni disk

Kada VHDX datoteka prestane raditi, virtualni stroj se ne pokreće ili Hyper-V javlja grešku pri montiranju ili spajanju kontrolnih točaka. Podaci cijelog poslužitelja tada su odjednom nedostupni. Oporavak VHDX datoteke u velikom je broju slučajeva moguć, ali samo ako se u prvim satima ne poduzme ništa što prepisuje ili mijenja izvornu strukturu diska. U nastavku objašnjavamo što uzrokuje oštećenje, što smijete napraviti sami i kada virtualni disk, zajedno s fizičkim diskovima na kojima se nalazi, treba predati laboratoriju za spašavanje podataka.

Ukratko

• VHDX nije obična datoteka. To je cijeli disk s particijama i datotečnim sustavom spremljen u jednu datoteku, a često je povezan s lancem AVHDX datoteka kontrolnih točaka.
• Najviše štete nastaje tek nakon kvara: ponovljeni pokušaji spajanja, kompakcija, ručno brisanje kontrolnih točaka ili daljnji rad na hostu kojem nedostaje prostora.
• Prvi korak je uvijek isti: zaustavite virtualni stroj, ništa ne mijenjajte i napravite kopiju svih povezanih datoteka prije bilo kakve intervencije.
• Ako je uzrok fizički kvar tvrdog diska, SSD-a ili RAID polja ispod VHDX-a, rješenje je laboratorij, a ne ponovno pokretanje.
• Kod poslovno kritičnih podataka najsigurniji je put stručna dijagnostika prije bilo kakvog pokušaja popravka.

Sadržaj

• Što je VHDX datoteka i zašto se oporavlja drukčije
• Najčešći uzroci oštećenja VHDX datoteke
• Prvi koraci koji čuvaju podatke
• Što ne smijete raditi s oštećenim VHDX-om
• Logička greška ili fizički kvar: kako prepoznati
• Što administrator može provjeriti sam
• Kada VHDX mora u laboratorij
• Kako izgleda laboratorijski oporavak VHDX-a
• Provjera integriteta nakon oporavka
• Kako spriječiti ponovni gubitak VHDX podataka
• Spašavanje VHDX-a u našem laboratoriju
• Često postavljana pitanja
• Izvori

Što je VHDX datoteka i zašto se oporavlja drukčije

VHDX je Microsoftov format virtualnog tvrdog diska. Koristi se u Hyper-V okruženju, ali i u Windows sustavima koji montiraju virtualne diskove. Prema službenoj specifikaciji formata VHDX, format pruža apstrakciju diska u datoteci. Unutar jedne datoteke nalaze se zaglavlje, tablica alokacije blokova, metapodaci i sami podaci virtualnog diska. Specifikacija opisuje i dnevnik promjena metapodataka, koji štiti strukturu datoteke od oštećenja pri iznenadnom nestanku napajanja.

Za oporavak podataka to ima tri važne posljedice.

• Oštećenje može postojati na više razina istodobno. Može biti na fizičkom disku ili RAID polju hosta, u datotečnom sustavu hosta (NTFS ili ReFS), u strukturi same VHDX datoteke ili u datotečnom sustavu unutar virtualnog stroja.
• Jedna datoteka često sadrži cijeli poslužitelj. Baza podataka, pošta, dokumenti i aplikacije nalaze se na istom virtualnom disku, pa oštećenje jedne datoteke znači zastoj cijelog sustava.
• Podaci nisu uvijek samo u .vhdx datoteci. Ako virtualni stroj ima kontrolne točke (checkpoints), dio podataka nalazi se u jednoj ili više diferencijalnih .avhdx datoteka. Bez cijelog i ispravno poredanog lanca slika diska nije potpuna.

Zato oporavak VHDX-a nije isto što i vraćanje obrisane datoteke. Riječ je o rekonstrukciji diska unutar diska, gdje svaka razina mora biti ispravno složena prije nego što se dođe do korisnih podataka. Sličan princip vrijedi i za VMware okruženja, o čemu smo pisali u vodiču o oporavku VMDK datoteke.

Najčešći uzroci oštećenja VHDX datoteke

Prekinuto ili neuspjelo spajanje kontrolnih točaka

Microsoft u smjernicama za rješavanje problema s Hyper-V kontrolnim točkama navodi da se problemi s kontrolnim točkama mogu povezati sa sigurnosnim kopiranjem trećih strana, ograničenjima pohrane, pogrešnom konfiguracijom ili kvarovima sustava. Oštećenje lanca diferencijalnih diskova može uzrokovati neuspjelo spajanje. Tipičan je slijed događaja ovakav: sustav za izradu sigurnosnih kopija ostavi kontrolnu točku koja se ne ukloni, lanac AVHDX datoteka raste tjednima ili mjesecima, a onda se spajanje zaustavi na pola zbog greške, nestanka prostora ili ponovnog pokretanja hosta.

Nedostatak prostora na hostu

Spajanje kontrolnih točaka traži slobodan prostor na volumenu. Ista Microsoftova uputa preporučuje osigurati dovoljno slobodnog prostora, idealno onoliko koliko iznosi veličina diska. Kada se volumen napuni tijekom rada ili spajanja, virtualni stroj se pauzira, a zapisi mogu ostati nedovršeni. Upravo u tom trenutku administratori često brišu “suvišne” datoteke da bi oslobodili prostor i pritom nehotice obrišu dio lanca.

Fizički kvar ispod virtualnog diska

VHDX je pouzdan onoliko koliko i disk na kojem se nalazi. Oštećeni sektori na tvrdom disku, istrošena flash memorija SSD-a, ispali disk u RAID polju ili neuspjela rekonstrukcija polja na NAS uređaju izravno oštećuju dijelove VHDX datoteke. Kako kapaciteti diskova rastu, na jednom fizičkom mediju nalazi se sve više virtualnih strojeva, pa jedan kvar pogađa više sustava odjednom. O tom trendu pisali smo u tekstu HDD od 30 TB ili veći.

Nestanak napajanja i nepravilno gašenje

Dnevnik metapodataka u VHDX formatu štiti samu strukturu datoteke, ali ne jamči da su podaci unutar virtualnog stroja konzistentni. Ako je baza podataka ili datotečni sustav gosta upravo zapisivao podatke, VHDX se može montirati, a sadržaj unutar njega ipak može biti oštećen.

Kompakcija, pretvorba i ručni zahvati

Kompakcija, pretvorba iz dinamičkog u fiksni disk, promjena veličine ili pretvorba između VHD i VHDX formata premještaju i prepisuju blokove. Na disku koji već ima grešku takav zahvat može trajno uništiti dio podataka. Rizičnim se u praksi pokazuje i kombiniranje deduplikacije podataka unutar virtualnog stroja s kompakcijom VHDX-a na hostu.

Brisanje, formatiranje i ransomware

Slučajno obrisana VHDX datoteka, formatiran volumen hosta ili šifriranje cijelog hosta zlonamjernim programom posebna su kategorija. Kod brisanja i formatiranja izgledi za oporavak najviše ovise o tome koliko je novih zapisa nastalo na volumenu nakon događaja.

Prvi koraci koji čuvaju podatke

Ishod oporavka uglavnom se odlučuje u prvim satima nakon kvara. Ako je VHDX datoteka nedostupna, postupite ovim redom:

1. Zaustavite virtualni stroj i ne pokušavajte ga ponovno pokretati. Svako pokretanje oštećenog sustava može pokrenuti automatske popravke, zapise u dnevnike i nove pokušaje spajanja.
2. Zabilježite točne poruke o grešci. Spremite snimke zaslona, zapise iz preglednika događaja i popis svih datoteka virtualnog stroja s veličinama i datumima izmjene. Te informacije znatno skraćuju dijagnostiku.
3. Ne dirajte kontrolne točke. Ne brišite ih, ne spajajte ručno i ne preimenujte AVHDX datoteke. Redoslijed i povezanost lanca ključni su za rekonstrukciju.
4. Provjerite fizički sloj. Neobični zvukovi diska, upozorenja o stanju diska, degradirano RAID polje ili vrlo spor pristup volumenu znak su fizičkog problema. U tom slučaju isključite host i ne nastavljajte s radom.
5. Napravite kopiju prije bilo kakvog zahvata. Ako je fizički disk ispravan, kopirajte sve datoteke virtualnog stroja (.vhdx, .avhdx i konfiguracijske datoteke) na drugi fizički disk. Sve daljnje provjere radite na kopiji.
6. Provjerite postoji li ispravna sigurnosna kopija. Vraćanje iz sigurnosne kopije radite na novu lokaciju, nikada preko izvornih datoteka.
7. Procijenite vrijednost podataka. Ako podaci vrijede više od nekoliko sati zastoja, prije bilo kakvog popravka obratite se laboratoriju.

Detaljniji postupak za Hyper-V okruženje opisali smo u tekstu 4 sigurna koraka za oporavak Hyper-V VHDX-a.

Što ne smijete raditi s oštećenim VHDX-om

Najveći broj nepovratnih gubitaka koje vidimo nije posljedica prvotnog kvara, nego pokušaja popravka. Izbjegavajte sljedeće:

• Popravak datotečnog sustava na izvorniku. Automatski popravak NTFS-a ili ReFS-a na hostu ili unutar montiranog VHDX-a može obrisati zapise koje smatra neispravnima, a upravo oni su potrebni za oporavak.
• Montiranje s mogućnošću zapisa. Ako virtualni disk montirate, montirajte ga isključivo u načinu samo za čitanje i po mogućnosti s kopije.
• Kompakciju, pretvorbu i promjenu veličine. Ti zahvati prepisuju strukturu datoteke.
• Prisilno povezivanje roditeljskog i diferencijalnog diska. Kada se identifikatori ne podudaraju, zaobilaženje provjere može pokrenuti stroj, ali uz rizik da se spoje pogrešne verzije podataka.
• Rekonstrukciju RAID polja bez dijagnoze. Ako nije jasno koji je disk ispao i kada, ponovna izgradnja polja može prepisati ispravne podatke.
• Spremanje bilo čega na isti volumen. Svaki novi zapis može prepisati blokove obrisane ili oštećene VHDX datoteke.

Hrvatski CERT u svojem dokumentu o obnavljanju izgubljenih podataka upozorava da programi za obnovu ne mogu jamčiti da neće doći do gubitka podataka. Kod virtualnih diskova taj je rizik veći jer se pogreška na jednoj razini prenosi na sve razine iznad nje.

Logička greška ili fizički kvar: kako prepoznati

Prvo pitanje u svakom slučaju je radi li se o logičkoj grešci u strukturi datoteke ili o fizičkom kvaru medija. O tome ovisi cijeli daljnji postupak.

Ako niste sigurni u koju kategoriju spada Vaš slučaj, korisno je pročitati naš tekst o dijagnostici kvara računala, u kojem objašnjavamo kada podaci traže laboratorij, a ne pokušaj na licu mjesta.

Što administrator može provjeriti sam

Administrator može bez rizika napraviti nekoliko provjera, uz uvjet da radi na kopiji i da je fizički medij ispravan. Hyper-V ima ugrađenu naredbu Test-VHD, koja provjerava ima li virtualni disk probleme zbog kojih bi bio neupotrebljiv i je li lanac virtualnog diska u upotrebljivom stanju. Važno je znati da ta naredba samo provjerava i ne popravlja ništa. Rezultat “neispravno” znači da je struktura oštećena, ali ne govori koliko je podataka moguće spasiti.

Ako postoji ispravna sigurnosna kopija, vraćanje na zasebnu lokaciju i montiranje vraćenog diska samo za čitanje najsigurniji je način da se dođe do pojedinačnih datoteka bez rizika za izvornik. Sve što prelazi ovu granicu, poput ručnog uređivanja zaglavlja, prisilnog povezivanja lanca ili popravka datotečnog sustava, za kritične podatke treba prepustiti stručnjacima.

Kada VHDX mora u laboratorij

Laboratorijski oporavak preporučujemo u sljedećim situacijama:

• disk ili SSD na kojem se nalazi VHDX pokazuje znakove fizičkog kvara, ispušta neobične zvukove ili ga sustav ne prepoznaje
• RAID polje ili NAS uređaj s virtualnim strojevima ne može se sastaviti ili je rekonstrukcija prekinuta
• lanac kontrolnih točaka je prekinut, a sigurnosna kopija ne postoji ili je starija od prihvatljivog
• VHDX sadrži bazu podataka, poštanski poslužitelj ili računovodstvene podatke koje nije moguće ponovno izraditi
• već je napravljen neuspješan pokušaj popravka, pa svaki sljedeći korak povećava rizik
• VHDX datoteka je obrisana, volumen formatiran ili šifriran
• podaci mogu biti dokaz u sporu ili internoj istrazi, pa je potreban forenzički postupak s očuvanjem izvornika

Za slučajeve u kojima podaci mogu poslužiti kao dokaz preporučujemo i naš vodič o koracima forenzičke analize diska.

Kako izgleda laboratorijski oporavak VHDX-a

Laboratorijski postupak ide odozdo prema gore, od fizičkog medija do pojedinačnih datoteka. Svaka razina se stabilizira prije nego što se prijeđe na sljedeću.

1. Dijagnostika fizičkih medija. Provjerava se stanje svakog diska na kojem se nalazi VHDX. Kod mehaničkih kvarova tvrdog diska, poput oštećene glave za čitanje ili podatkovnih ploča, zahvat se radi u čistoj komori.
2. Izrada sektorske kopije. Sa svakog medija izrađuje se kopija, a sav daljnji rad odvija se isključivo na njoj. Izvornik ostaje netaknut.
3. Rekonstrukcija RAID polja. Kod poslužitelja i NAS uređaja određuju se redoslijed diskova, veličina bloka i paritet te se polje virtualno sastavlja bez zapisivanja na originalne diskove. Više o tome pišemo u tekstu o spašavanju podataka s RAID polja.
4. Oporavak datotečnog sustava hosta. Na rekonstruiranom volumenu pronalaze se VHDX i AVHDX datoteke, uključujući one koje su obrisane ili djelomično prepisane.
5. Analiza i popravak strukture VHDX-a. Provjeravaju se zaglavlje, dnevnik, tablica blokova i metapodaci, a lanac kontrolnih točaka slaže se u ispravnom redoslijedu.
6. Izvlačenje podataka iz gosta. Kada je virtualni disk složen, oporavljaju se particije, datotečni sustav i datoteke unutar virtualnog stroja, a po potrebi se popravljaju oštećene datoteke i baze podataka.
7. Provjera i predaja. Oporavljeni podaci provjeravaju se prema popisu kritičnih datoteka koji klijent dostavi i predaju na novom mediju.

Kako dijagnostika uklapa u širi plan poslovnog kontinuiteta, opisali smo u tekstu o laboratorijskom planu oporavka od katastrofe.

Provjera integriteta nakon oporavka

Činjenica da se virtualni stroj ponovno pokreće ne znači da su svi podaci ispravni. Nakon oporavka provjerite sljedeće:

• prolazi li vraćeni virtualni disk provjeru lanca naredbom Test-VHD
• otvaraju li se najvažnije datoteke, posebno one izmijenjene neposredno prije kvara
• prolaze li baze podataka vlastite provjere konzistentnosti
• poklapaju li se broj i veličina datoteka s onim što očekujete prema zadnjoj poznatoj ispravnoj sigurnosnoj kopiji
• bilježe li dnevnici sustava unutar virtualnog stroja nove greške diska nakon pokretanja

Tek kada su sve provjere uredne, vraćeni sustav treba vratiti u produkciju, i to po mogućnosti na novi, ispravan medij.

Kako spriječiti ponovni gubitak VHDX podataka

Većina slučajeva oštećenja VHDX-a može se spriječiti redovitim održavanjem:

• Pratite kontrolne točke. Kontrolne točke nisu sigurnosna kopija. Redovito provjeravajte da ne zaostaju stare AVHDX datoteke nakon izrade sigurnosnih kopija.
• Osigurajte prostor. Prema Microsoftovoj preporuci, za spajanje kontrolnih točaka idealno je imati slobodnog prostora koliko iznosi veličina diska.
• Pratite stanje fizičkih diskova i RAID polja. Degradirano polje treba riješiti odmah, a ne kad ispadne i drugi disk.
• Čuvajte sigurnosne kopije izvan hosta. Barem jedna kopija treba biti na drugom mediju i na drugoj lokaciji, odvojena od mreže, kako bi preživjela i ransomware.
• Povremeno testirajte vraćanje. Sigurnosna kopija koja nikada nije vraćena nije provjerena.
• Izbjegavajte rizične zahvate na produkcijskim diskovima. Kompakciju i pretvorbu radite tek nakon svježe i provjerene sigurnosne kopije.

Širi okvir zaštite opisali smo u tekstu o sigurnosti podataka u poslovnom okruženju.

Spašavanje VHDX-a u našem laboratoriju

Datarecovery, poznat i kao InfoLAB, stručni je laboratorij za spašavanje podataka osnovan 1993. godine i jedini u regiji s potvrdom ISO 9001:2015. Spašavamo podatke s tvrdih diskova, SSD-ova, RAID polja i NAS uređaja na kojima se nalaze virtualni strojevi, a radimo i popravak oštećenih datoteka i baza te IT forenziku. Mehaničke zahvate na diskovima izvodimo u čistim komorama klase 100/10, a vrijedi naše pravilo “no Data, no Money”: ako podatke ne spasimo, ne plaćate oporavak. Za hitne slučajeve moguća je hitna intervencija.

Ako je Vaš Hyper-V poslužitelj stao, a VHDX datoteka sadrži podatke koje ne smijete izgubiti, nemojte nastavljati s pokušajima popravka. Obratite nam se preko stranice za laboratorijsko spašavanje podataka i dogovorite dijagnostiku.

Često postavljana pitanja

Može li se oporaviti VHDX datoteka koja se ne može montirati?

U mnogim slučajevima može. Greška pri montiranju najčešće znači da je oštećeno zaglavlje, metapodaci ili tablica blokova, a sami podaci su još uvijek u datoteci. Važno je ne pokušavati popravke na izvorniku i sačuvati kopiju datoteke za analizu.

Što je AVHDX datoteka i smijem li je obrisati?

AVHDX je diferencijalni disk koji Hyper-V stvara pri izradi kontrolne točke. U njoj su sve promjene nastale nakon kontrolne točke. Ručnim brisanjem trajno gubite te promjene i prekidate lanac, pa AVHDX datoteke nikada ne brišite dok se ne utvrdi stanje cijelog lanca.

Može li se vratiti obrisana VHDX datoteka?

Često može, ako se nakon brisanja na isti volumen nije zapisivalo mnogo novih podataka. Zato odmah prestanite koristiti taj volumen i ne vraćajte ništa na njega. Što prije disk dođe na analizu, veći su izgledi za cjelovit oporavak.

Koliko traje oporavak VHDX datoteke?

Trajanje ovisi o veličini diska, broju kontrolnih točaka i tome postoji li fizički kvar ili RAID polje koje treba rekonstruirati. Logička greška na ispravnom disku rješava se brže od višeslojnog kvara na poslužitelju. Točnu procjenu dobivate nakon dijagnostike.

Plaćam li ako se podaci ne mogu spasiti?

Ne. Kod nas vrijedi pravilo “no Data, no Money”: oporavak plaćate samo ako su podaci spašeni. Prije zahvata dobivate procjenu nakon dijagnostike.

Izvori

• Microsoft: Virtual Hard Disk v2 (VHDX) File Format
• Microsoft Learn: Guidance for troubleshooting Hyper-V snapshots, checkpoints and differencing disks
• Microsoft Learn: Test-VHD
• CERT.hr: Obnavljanje izgubljenih podataka

Preporučeno

• 4 sigurna koraka za oporavak Hyper-V VHDX, bez rizika za original
• Oporavak VMDK datoteke: što učiniti kad virtualni disk zakaže
• VMFS oporavak podataka: što učiniti kad datastore nestane
• Laboratorijski vodič za oporavak VMware datastorea i kontrolne liste za IT odjele