Datastrophe

Recuperación de datos en disco virtual VMDK y VHDX

Un disco virtual dañado debe analizarse junto con su descriptor, cadena de snapshots y almacenamiento físico antes de arrancar o consolidar la máquina.

Cadena de snapshots de una máquina virtual inmovilizada antes del análisis

No consolide snapshots cuando la cadena ya presenta errores

La consolidación escribe grandes volúmenes y da por hecho que los discos padre, los discos hijo y sus identificadores son coherentes.

Si VMware, Hyper‑V o Proxmox informa de un padre ausente, detenga las tareas automáticas. El estado actual puede depender de deltas que no aparecen en la interfaz pero conservan bloques recientes. Eliminar, renombrar o fusionar sin mapa puede aplicar cambios sobre una base equivocada. Se recopilan ficheros, tamaños, fechas, CID, UUID y configuración de la máquina; la cadena se representa sobre copias antes de intentar una lectura.

  • Pause copias y consolidaciones programadas.
  • No borre archivos marcados como huérfanos.
  • Conserve inventario y registros del hipervisor.

VMDK descriptor y flat

Un pequeño descriptor define geometría, tipo y archivo de datos. Si falta, puede reconstruirse con la evidencia del flat y la configuración, evitando crear uno que escriba sobre el original.

AVHDX y checkpoints Hyper‑V

Los discos diferenciales forman su propia cadena. Se comprueban identificadores y marcas antes de combinar, porque una unión incorrecta puede mezclar estados temporales incompatibles.

El snapshot más reciente no contiene necesariamente todo el disco: guarda diferencias que dependen de sus padres en un orden exacto.
Servidor virtual apagado para evitar cambios en el disco original

Arrancar la VM original modifica precisamente lo que hay que estudiar

El sistema invitado actualiza journal, swap, logs, bases y aplicaciones desde los primeros segundos.

Un arranque de prueba puede activar fsck, CHKDSK, recuperación de base o rotación de registros. Si el disco es thin, esas escrituras ocupan bloques que antes no estaban asignados. Se clona la cadena y, cuando procede, se monta en modo de solo lectura o se crea una VM aislada sobre duplicados. Antes de iniciar se buscan archivos prioritarios directamente en el sistema de archivos invitado y se conserva una referencia inalterada para comparar.

  • No conecte la VM dañada a la red de producción.
  • Desactive tareas automáticas solo en una copia.
  • No permita reparaciones del sistema sobre el original.

Montaje de solo lectura

Permite inspeccionar particiones y rutas sin ejecutar servicios invitados. No todos los formatos o estados admiten un montaje directo, por lo que se conserva una imagen previa.

Clon aislado para validación

Cuando una aplicación debe iniciar para comprobar datos, se trabaja en red cerrada y con snapshots de prueba independientes, sin modificar la única reconstrucción.

Una máquina que llega a la pantalla de inicio puede seguir conteniendo bases incoherentes; arrancar no equivale a recuperar.
Mapa de bloques asignados y libres en un disco virtual thin provisioned

Thin provisioning separa tamaño aparente y bloques realmente presentes

Un VMDK de 2 TB puede ocupar mucho menos y depender de metadatos que señalan qué regiones fueron asignadas.

Copiar solo el tamaño visible en una interfaz o convertir apresuradamente puede rellenar huecos, truncar extents o perder información de asignación. Se identifica si el formato es sparse, streamOptimized, dinámico o differencing y se verifica cada extent. En QCOW2 intervienen tablas L1/L2; en VHDX, metadatos y BAT; en VMDK, grain directories. La reconstrucción respeta esos mapas antes de presentar sectores al sistema invitado.

  • Conserve todos los extents numerados.
  • No cambie formato antes de documentar el original.
  • Compare tamaño lógico, físico y fechas.

VMDK dividido en segmentos

Archivos s001, s002 y sucesivos deben conservar orden y tamaño. La ausencia de un segmento crea un hueco localizado que se evalúa contra particiones y prioridades.

VHDX dinámico

La Block Allocation Table dirige cada bloque lógico. Copias incompletas o metadatos duplicados exigen elegir la versión coherente sin reescribir el contenedor fuente.

Un bloque no asignado y un bloque perdido no significan lo mismo; rellenarlos indiscriminadamente puede ocultar la causa de la corrupción.
Datastore y archivo VMDK revisados como capas de un mismo incidente

El datastore puede ser la causa anterior al daño del VMDK

VMFS, ReFS, ZFS, Ceph o un volumen NAS añaden otra capa entre el archivo virtual y los discos físicos.

Si faltan VMDK, aparecen con tamaño cero o la cabina perdió un volumen, no basta con analizar un fichero exportado. Se preservan discos, RAID, metadatos del datastore y configuración del hipervisor. Una reconstrucción incorrecta de RAID puede ofrecer archivos virtuales aparentemente completos con bloques cruzados. El orden técnico es estabilizar almacenamiento físico, recomponer el volumen, extraer todos los miembros virtuales y solo entonces estudiar el invitado.

Los datastores compartidos pueden contener archivos bloqueados, plantillas, ISOs y VMs eliminadas junto a las activas. El inventario y los logs ayudan a asociar extents con una máquina concreta. Se evita copiar solo nombres conocidos, porque un descriptor pequeño o un delta aparentemente antiguo puede ser indispensable para presentar los bloques actuales del servicio prioritario.

  • No reinicialice LUN ni vuelva a crear datastore.
  • Conserve orden de discos y configuración RAID.
  • Evite migraciones automáticas tras el incidente.

VMFS borrado o reformateado

La nueva estructura puede sobrescribir metadatos de inventario y extents. Se detienen escrituras y se busca la geometría anterior sobre una imagen del LUN.

Almacenamiento distribuido

Ceph, vSAN u otras plataformas reparten objetos y réplicas. La recuperación necesita mapa de nodos, versiones y estado del clúster; copiar un fragmento local no representa el disco completo.

Para matrices degradadas, consulte la recuperación RAID y NAS antes de manipular archivos virtuales aislados.
Registros y archivos de una base de datos virtual alineados en el tiempo

Bases de datos invitadas necesitan coherencia transaccional

Recuperar el archivo MDF, EDB o de una base no demuestra que sus páginas y logs formen un estado utilizable.

Se priorizan bases, logs de transacción, configuraciones, certificados y ficheros adjuntos según la aplicación. Sobre una copia se comprueban cabeceras, páginas y relación entre datos y registros. Si la máquina se apagó bruscamente, la recuperación nativa de la base puede probarse en un entorno aislado, conservando el estado anterior. Para servicios distribuidos se identifica qué nodo tenía la versión autorizada y qué datos pueden reconstruirse desde réplicas sin mezclar épocas.

Las aplicaciones también pueden repartir datos entre varios discos virtuales: sistema, base, logs y adjuntos. El archivo de configuración de la VM y el inventario del hipervisor muestran esos vínculos. Recuperar solo el disco de sistema puede producir un servidor que arranca sin información de negocio, mientras que conservar todos los miembros permite validar una combinación temporal coherente.

  • Indique motor, versión y última copia válida.
  • Priorice bases por impacto de negocio.
  • Conserve logs y ficheros de configuración asociados.

Controladores de dominio y servicios sensibles

No se arrancan conectados a producción desde una copia antigua. La validación se coordina para evitar conflictos de identidad, replicación o seguridad.

Servidores de archivos virtualizados

Permisos, recursos compartidos, cuotas y versiones pueden importar además del contenido. Se preservan metadatos del invitado y se explica qué atributos sobreviven.

Un archivo que abre con errores puede requerir una extracción parcial de tablas; esa salida se distingue de una base íntegra y lista para producción.
Versión virtual reconstruida desde el almacenamiento hasta el invitado con bloques ausentes documentados

El laboratorio reconstruye capas desde el almacenamiento hasta el invitado

Cada nivel se valida antes de utilizarlo como fundamento del siguiente.

Datastrophe recopila hipervisor, formato, configuración, snapshots, logs, datastore y síntoma. En el laboratorio de recuperación de datos se crea una copia del almacenamiento fuente, se verifica RAID o sistema físico y se extraen miembros virtuales. Se reconstruyen descriptores y cadenas sin escribir en ellos; después se analizan particiones y sistemas de archivos invitados. Los resultados se duplican antes de cualquier arranque de prueba. Esta secuencia mantiene trazabilidad y permite volver atrás si una hipótesis de cadena no concuerda.

  • Capa física adquirida y documentada.
  • Cadena virtual reconstruida en solo lectura.
  • Datos invitados controlados por aplicación.

Hash y trazabilidad de copias

Se registran fuentes, conversiones y variantes reconstruidas. Así puede saberse qué resultado proviene de qué snapshot y evitar una mezcla no documentada.

Laboratorio físico cuando falla el host

Si el datastore reside en discos dañados, intervienen técnicas de HDD, SSD o RAID según el medio. La virtualización no elimina el fallo de hardware subyacente.

El proceso de recuperación se adapta al incidente, pero siempre separa el soporte original de las reconstrucciones de prueba.
Línea temporal con RPO, snapshots y servicios virtuales prioritarios

RPO, fecha del snapshot y servicio crítico fijan la prioridad

La versión más reciente no siempre es la única útil ni la que contiene una base consistente.

Indique hora del incidente, último backup, punto de recuperación deseado y sistemas que bloquean la actividad. Una base puede requerir su log hasta una fecha; un servidor de archivos, carpetas recientes; una VM de aplicación, configuración y certificados. Se compara cada snapshot con estas prioridades y se evita consolidar solo por ser el más nuevo. Cuando existe réplica, se valida su retraso y estado antes de usarla como referencia.

  • Defina RPO aceptable por servicio.
  • Liste máquinas y bases en orden de impacto.
  • Aporte inventario, direcciones y dependencias.

Dependencias entre máquinas

Aplicación, base, identidad y almacenamiento pueden vivir en VMs diferentes. Se preservan estados compatibles para evitar arrancar un componente con datos de otra fecha.

Copias de seguridad incompletas

Un backup que terminó con advertencias se prueba por archivo y aplicación. Su existencia reduce riesgo solo si permite restaurar la prioridad acordada.

Una recuperación parcial bien fechada puede ser más útil que una imagen reciente cuya base quedó incoherente durante el fallo.
Inventario de VMDK, snapshots y copias congeladas preparado para diagnóstico

Inventario y copias congeladas preparan el caso virtual

Antes de enviar datos, detenga automatismos y conserve una fotografía exacta de archivos, discos y configuración.

Exporte inventario y logs sin consolidar ni mover la VM; anote plataforma, versiones, nombres, tamaños, snapshots, datastore y RAID. Copie los ficheros solo si el almacenamiento es estable y mantenga fechas y estructura. Si hay fallo físico, apague la matriz y documente orden de discos. Liste bases, carpetas y servicios prioritarios con el punto temporal necesario. Puede solicitar un presupuesto aportando este inventario y una muestra de errores, sin subir archivos sensibles hasta acordar el canal. La guía de tarifas explica por qué una cadena larga y una validación de aplicaciones amplían el alcance frente a un simple montaje.

Incluya checksums existentes y manifiestos de backup, pero no regenere hashes sobre una cabina que está fallando. Esos valores permiten distinguir una copia previa válida de una exportación truncada y documentar qué artefactos se mantuvieron idénticos durante el tratamiento.

Si los ficheros pueden copiarse sin forzar el datastore, el método de transferencia debe conservar nombres, fechas, estructura, atributos y el carácter disperso de los discos thin. Una sincronización que omite archivos ocultos, sigue enlaces de forma inesperada o expande cada hueco puede dejar fuera descriptores y agotar el espacio de destino antes de completar la cadena. Prepare un manifiesto con ruta, tamaño lógico, tamaño ocupado y hash ya disponible. En una empresa española con varias sedes o un proveedor de alojamiento, identifique además quién congeló la máquina y desde qué almacenamiento se obtuvo cada copia; no mezcle exportaciones tomadas en momentos distintos bajo una sola carpeta.

Cuando el origen físico es inestable, no se intenta crear un gran archivo de exportación para facilitar el envío. Se conserva la cabina, el orden de miembros, la controladora y cualquier expansión, siguiendo el inventario necesario para recuperar el RAID o NAS. Para un transporte desde la península, Baleares o Canarias, cada disco viaja inmovilizado, protegido contra electricidad estática y asociado a su bahía y número de serie. Si el origen está sano y solo falla la cadena virtual, puede prepararse una copia en un soporte nuevo con capacidad suficiente; credenciales, claves de cifrado y datos de acceso se comunican por un canal separado del paquete o la transferencia.

Un equipo de sistemas puede necesitar un VMDK, VHDX o QCOW2 reconstruido para trabajar en un entorno aislado; el responsable de una aplicación puede preferir la base, sus logs, certificados y adjuntos extraídos; otros casos requieren ambos. Antes de entregar se verifican padres e hijos, particiones, sistemas de archivos y muestras distribuidas por los rangos del disco. Los sectores ausentes se relacionan con archivos concretos siempre que sea posible. Una VM que arranca no se declara íntegra solo por llegar al escritorio, y nunca vuelve a producción sin revisión de identidad, red, servicios y consistencia de la aplicación. La restitución se decide según el uso previsto.

  • Conserve .vmx, .vbox, XML y descriptores.
  • Incluya cada delta aunque parezca vacío.
  • No convierta formatos sobre la única copia.

Qué se controla antes de entregar

Se abren archivos prioritarios y se verifican bases o servicios en un entorno aislado cuando es viable. Los huecos de sectores se relacionan con su impacto real.

Qué no debe volver a producción

Una reconstrucción de emergencia no se considera una plataforma reparada. Los datos se migran a almacenamiento sano y la infraestructura se recompone con controles independientes.

La entrega puede consistir en archivos extraídos, un disco virtual reconstruido o datos de aplicación; el formato se acuerda según utilidad y límites.

Preguntas frecuentes

Preguntas frecuentes

¿Debo consolidar snapshots si VMware lo solicita?

No cuando hay errores o datos críticos sin copia. La consolidación escribe y depende de una cadena coherente. Preserve base, deltas, descriptores y logs para reconstruir el orden sobre duplicados.

¿Se recupera un VMDK sin descriptor?

A menudo puede reconstruirse si el flat o los extents están completos y se conoce su geometría y tipo. El descriptor nuevo se prueba sobre una copia, sin sobrescribir el archivo de datos.

¿Por qué no arrancar la máquina para comprobar?

El arranque escribe journal, swap, logs y bases, y puede activar reparaciones. Se inspecciona primero en solo lectura; cualquier inicio se realiza sobre una copia aislada que pueda descartarse.

¿Puede recuperarse una VM si el datastore fue borrado?

Depende de los metadatos y bloques sobrescritos. Detenga el LUN y no recree VMFS. Primero se reconstruye el datastore o se extraen extents, después los discos virtuales y el sistema invitado.

¿Un VHDX o QCOW2 encontrado ya está recuperado?

No necesariamente. Deben verificarse sus mapas, padres, particiones y archivos internos. Un contenedor con tamaño correcto puede tener huecos o depender de snapshots ausentes.

¿Qué información reduce el tiempo de diagnóstico?

Hipervisor, versión, inventario, cadena de snapshots, datastore, RAID, hora del fallo, último backup y prioridades de aplicación. Conservar logs y configuración evita adivinar relaciones entre archivos.

Diagnóstico

¿Duda sobre un soporte o una avería?

Datastrophe evalúa el riesgo antes de cualquier intervención y le indica el camino más prudente.

Solicitar un diagnóstico