Recuperación de datos en disco virtual VMDK y VHDX
Un disco virtual dañado debe analizarse junto con su descriptor, cadena de snapshots y almacenamiento físico antes de arrancar o consolidar la máquina.
No consolide snapshots cuando la cadena ya presenta errores
La consolidación escribe grandes volúmenes y da por hecho que los discos padre, los discos hijo y sus identificadores son coherentes.
Si VMware, Hyper‑V o Proxmox informa de un padre ausente, detenga las tareas automáticas. El estado actual puede depender de deltas que no aparecen en la interfaz pero conservan bloques recientes. Eliminar, renombrar o fusionar sin mapa puede aplicar cambios sobre una base equivocada. Se recopilan ficheros, tamaños, fechas, CID, UUID y configuración de la máquina; la cadena se representa sobre copias antes de intentar una lectura.
- Pause copias y consolidaciones programadas.
- No borre archivos marcados como huérfanos.
- Conserve inventario y registros del hipervisor.
VMDK descriptor y flat
Un pequeño descriptor define geometría, tipo y archivo de datos. Si falta, puede reconstruirse con la evidencia del flat y la configuración, evitando crear uno que escriba sobre el original.
AVHDX y checkpoints Hyper‑V
Los discos diferenciales forman su propia cadena. Se comprueban identificadores y marcas antes de combinar, porque una unión incorrecta puede mezclar estados temporales incompatibles.
Arrancar la VM original modifica precisamente lo que hay que estudiar
El sistema invitado actualiza journal, swap, logs, bases y aplicaciones desde los primeros segundos.
Un arranque de prueba puede activar fsck, CHKDSK, recuperación de base o rotación de registros. Si el disco es thin, esas escrituras ocupan bloques que antes no estaban asignados. Se clona la cadena y, cuando procede, se monta en modo de solo lectura o se crea una VM aislada sobre duplicados. Antes de iniciar se buscan archivos prioritarios directamente en el sistema de archivos invitado y se conserva una referencia inalterada para comparar.
- No conecte la VM dañada a la red de producción.
- Desactive tareas automáticas solo en una copia.
- No permita reparaciones del sistema sobre el original.
Montaje de solo lectura
Permite inspeccionar particiones y rutas sin ejecutar servicios invitados. No todos los formatos o estados admiten un montaje directo, por lo que se conserva una imagen previa.
Clon aislado para validación
Cuando una aplicación debe iniciar para comprobar datos, se trabaja en red cerrada y con snapshots de prueba independientes, sin modificar la única reconstrucción.
Thin provisioning separa tamaño aparente y bloques realmente presentes
Un VMDK de 2 TB puede ocupar mucho menos y depender de metadatos que señalan qué regiones fueron asignadas.
Copiar solo el tamaño visible en una interfaz o convertir apresuradamente puede rellenar huecos, truncar extents o perder información de asignación. Se identifica si el formato es sparse, streamOptimized, dinámico o differencing y se verifica cada extent. En QCOW2 intervienen tablas L1/L2; en VHDX, metadatos y BAT; en VMDK, grain directories. La reconstrucción respeta esos mapas antes de presentar sectores al sistema invitado.
- Conserve todos los extents numerados.
- No cambie formato antes de documentar el original.
- Compare tamaño lógico, físico y fechas.
VMDK dividido en segmentos
Archivos s001, s002 y sucesivos deben conservar orden y tamaño. La ausencia de un segmento crea un hueco localizado que se evalúa contra particiones y prioridades.
VHDX dinámico
La Block Allocation Table dirige cada bloque lógico. Copias incompletas o metadatos duplicados exigen elegir la versión coherente sin reescribir el contenedor fuente.
El datastore puede ser la causa anterior al daño del VMDK
VMFS, ReFS, ZFS, Ceph o un volumen NAS añaden otra capa entre el archivo virtual y los discos físicos.
Si faltan VMDK, aparecen con tamaño cero o la cabina perdió un volumen, no basta con analizar un fichero exportado. Se preservan discos, RAID, metadatos del datastore y configuración del hipervisor. Una reconstrucción incorrecta de RAID puede ofrecer archivos virtuales aparentemente completos con bloques cruzados. El orden técnico es estabilizar almacenamiento físico, recomponer el volumen, extraer todos los miembros virtuales y solo entonces estudiar el invitado.
Los datastores compartidos pueden contener archivos bloqueados, plantillas, ISOs y VMs eliminadas junto a las activas. El inventario y los logs ayudan a asociar extents con una máquina concreta. Se evita copiar solo nombres conocidos, porque un descriptor pequeño o un delta aparentemente antiguo puede ser indispensable para presentar los bloques actuales del servicio prioritario.
- No reinicialice LUN ni vuelva a crear datastore.
- Conserve orden de discos y configuración RAID.
- Evite migraciones automáticas tras el incidente.
VMFS borrado o reformateado
La nueva estructura puede sobrescribir metadatos de inventario y extents. Se detienen escrituras y se busca la geometría anterior sobre una imagen del LUN.
Almacenamiento distribuido
Ceph, vSAN u otras plataformas reparten objetos y réplicas. La recuperación necesita mapa de nodos, versiones y estado del clúster; copiar un fragmento local no representa el disco completo.
Bases de datos invitadas necesitan coherencia transaccional
Recuperar el archivo MDF, EDB o de una base no demuestra que sus páginas y logs formen un estado utilizable.
Se priorizan bases, logs de transacción, configuraciones, certificados y ficheros adjuntos según la aplicación. Sobre una copia se comprueban cabeceras, páginas y relación entre datos y registros. Si la máquina se apagó bruscamente, la recuperación nativa de la base puede probarse en un entorno aislado, conservando el estado anterior. Para servicios distribuidos se identifica qué nodo tenía la versión autorizada y qué datos pueden reconstruirse desde réplicas sin mezclar épocas.
Las aplicaciones también pueden repartir datos entre varios discos virtuales: sistema, base, logs y adjuntos. El archivo de configuración de la VM y el inventario del hipervisor muestran esos vínculos. Recuperar solo el disco de sistema puede producir un servidor que arranca sin información de negocio, mientras que conservar todos los miembros permite validar una combinación temporal coherente.
- Indique motor, versión y última copia válida.
- Priorice bases por impacto de negocio.
- Conserve logs y ficheros de configuración asociados.
Controladores de dominio y servicios sensibles
No se arrancan conectados a producción desde una copia antigua. La validación se coordina para evitar conflictos de identidad, replicación o seguridad.
Servidores de archivos virtualizados
Permisos, recursos compartidos, cuotas y versiones pueden importar además del contenido. Se preservan metadatos del invitado y se explica qué atributos sobreviven.
El laboratorio reconstruye capas desde el almacenamiento hasta el invitado
Cada nivel se valida antes de utilizarlo como fundamento del siguiente.
Datastrophe recopila hipervisor, formato, configuración, snapshots, logs, datastore y síntoma. En el laboratorio de recuperación de datos se crea una copia del almacenamiento fuente, se verifica RAID o sistema físico y se extraen miembros virtuales. Se reconstruyen descriptores y cadenas sin escribir en ellos; después se analizan particiones y sistemas de archivos invitados. Los resultados se duplican antes de cualquier arranque de prueba. Esta secuencia mantiene trazabilidad y permite volver atrás si una hipótesis de cadena no concuerda.
- Capa física adquirida y documentada.
- Cadena virtual reconstruida en solo lectura.
- Datos invitados controlados por aplicación.
Hash y trazabilidad de copias
Se registran fuentes, conversiones y variantes reconstruidas. Así puede saberse qué resultado proviene de qué snapshot y evitar una mezcla no documentada.
Laboratorio físico cuando falla el host
Si el datastore reside en discos dañados, intervienen técnicas de HDD, SSD o RAID según el medio. La virtualización no elimina el fallo de hardware subyacente.
RPO, fecha del snapshot y servicio crítico fijan la prioridad
La versión más reciente no siempre es la única útil ni la que contiene una base consistente.
Indique hora del incidente, último backup, punto de recuperación deseado y sistemas que bloquean la actividad. Una base puede requerir su log hasta una fecha; un servidor de archivos, carpetas recientes; una VM de aplicación, configuración y certificados. Se compara cada snapshot con estas prioridades y se evita consolidar solo por ser el más nuevo. Cuando existe réplica, se valida su retraso y estado antes de usarla como referencia.
- Defina RPO aceptable por servicio.
- Liste máquinas y bases en orden de impacto.
- Aporte inventario, direcciones y dependencias.
Dependencias entre máquinas
Aplicación, base, identidad y almacenamiento pueden vivir en VMs diferentes. Se preservan estados compatibles para evitar arrancar un componente con datos de otra fecha.
Copias de seguridad incompletas
Un backup que terminó con advertencias se prueba por archivo y aplicación. Su existencia reduce riesgo solo si permite restaurar la prioridad acordada.
Inventario y copias congeladas preparan el caso virtual
Antes de enviar datos, detenga automatismos y conserve una fotografía exacta de archivos, discos y configuración.
Exporte inventario y logs sin consolidar ni mover la VM; anote plataforma, versiones, nombres, tamaños, snapshots, datastore y RAID. Copie los ficheros solo si el almacenamiento es estable y mantenga fechas y estructura. Si hay fallo físico, apague la matriz y documente orden de discos. Liste bases, carpetas y servicios prioritarios con el punto temporal necesario. Puede solicitar un presupuesto aportando este inventario y una muestra de errores, sin subir archivos sensibles hasta acordar el canal. La guía de tarifas explica por qué una cadena larga y una validación de aplicaciones amplían el alcance frente a un simple montaje.
Incluya checksums existentes y manifiestos de backup, pero no regenere hashes sobre una cabina que está fallando. Esos valores permiten distinguir una copia previa válida de una exportación truncada y documentar qué artefactos se mantuvieron idénticos durante el tratamiento.
Si los ficheros pueden copiarse sin forzar el datastore, el método de transferencia debe conservar nombres, fechas, estructura, atributos y el carácter disperso de los discos thin. Una sincronización que omite archivos ocultos, sigue enlaces de forma inesperada o expande cada hueco puede dejar fuera descriptores y agotar el espacio de destino antes de completar la cadena. Prepare un manifiesto con ruta, tamaño lógico, tamaño ocupado y hash ya disponible. En una empresa española con varias sedes o un proveedor de alojamiento, identifique además quién congeló la máquina y desde qué almacenamiento se obtuvo cada copia; no mezcle exportaciones tomadas en momentos distintos bajo una sola carpeta.
Cuando el origen físico es inestable, no se intenta crear un gran archivo de exportación para facilitar el envío. Se conserva la cabina, el orden de miembros, la controladora y cualquier expansión, siguiendo el inventario necesario para recuperar el RAID o NAS. Para un transporte desde la península, Baleares o Canarias, cada disco viaja inmovilizado, protegido contra electricidad estática y asociado a su bahía y número de serie. Si el origen está sano y solo falla la cadena virtual, puede prepararse una copia en un soporte nuevo con capacidad suficiente; credenciales, claves de cifrado y datos de acceso se comunican por un canal separado del paquete o la transferencia.
Un equipo de sistemas puede necesitar un VMDK, VHDX o QCOW2 reconstruido para trabajar en un entorno aislado; el responsable de una aplicación puede preferir la base, sus logs, certificados y adjuntos extraídos; otros casos requieren ambos. Antes de entregar se verifican padres e hijos, particiones, sistemas de archivos y muestras distribuidas por los rangos del disco. Los sectores ausentes se relacionan con archivos concretos siempre que sea posible. Una VM que arranca no se declara íntegra solo por llegar al escritorio, y nunca vuelve a producción sin revisión de identidad, red, servicios y consistencia de la aplicación. La restitución se decide según el uso previsto.
- Conserve .vmx, .vbox, XML y descriptores.
- Incluya cada delta aunque parezca vacío.
- No convierta formatos sobre la única copia.
Qué se controla antes de entregar
Se abren archivos prioritarios y se verifican bases o servicios en un entorno aislado cuando es viable. Los huecos de sectores se relacionan con su impacto real.
Qué no debe volver a producción
Una reconstrucción de emergencia no se considera una plataforma reparada. Los datos se migran a almacenamiento sano y la infraestructura se recompone con controles independientes.
Preguntas frecuentes
Preguntas frecuentes
¿Debo consolidar snapshots si VMware lo solicita?
No cuando hay errores o datos críticos sin copia. La consolidación escribe y depende de una cadena coherente. Preserve base, deltas, descriptores y logs para reconstruir el orden sobre duplicados.
¿Se recupera un VMDK sin descriptor?
A menudo puede reconstruirse si el flat o los extents están completos y se conoce su geometría y tipo. El descriptor nuevo se prueba sobre una copia, sin sobrescribir el archivo de datos.
¿Por qué no arrancar la máquina para comprobar?
El arranque escribe journal, swap, logs y bases, y puede activar reparaciones. Se inspecciona primero en solo lectura; cualquier inicio se realiza sobre una copia aislada que pueda descartarse.
¿Puede recuperarse una VM si el datastore fue borrado?
Depende de los metadatos y bloques sobrescritos. Detenga el LUN y no recree VMFS. Primero se reconstruye el datastore o se extraen extents, después los discos virtuales y el sistema invitado.
¿Un VHDX o QCOW2 encontrado ya está recuperado?
No necesariamente. Deben verificarse sus mapas, padres, particiones y archivos internos. Un contenedor con tamaño correcto puede tener huecos o depender de snapshots ausentes.
¿Qué información reduce el tiempo de diagnóstico?
Hipervisor, versión, inventario, cadena de snapshots, datastore, RAID, hora del fallo, último backup y prioridades de aplicación. Conservar logs y configuración evita adivinar relaciones entre archivos.
Soportes
Otras especialidades
Diagnóstico
¿Duda sobre un soporte o una avería?
Datastrophe evalúa el riesgo antes de cualquier intervención y le indica el camino más prudente.