Rückgängigmachen eines VM-Snapshots: Was er wiederherstellt und was nicht

Ein Prüfpunkt setzt einen Teil des Gasts zurück und lässt jedes andere System, wo es war. Was den Gast verlassen hat — eine zugestellte Nachricht, eine auf den Host kopierte Datei, eine Kontohandlung, die eine Website angenommen hat — gehört dem System, das sie empfangen hat, nicht dem Prüfpunkt. Die Wiederherstellung hat einen festgelegten lokalen Umfang, und sie Löschung zu nennen macht aus einem Wiederherstellungsplan eine falsche Aussage. Die Tabelle unten ist die Checkliste dafür, was eine Wiederherstellung tatsächlich erreicht.

Der Desktop kommt zurück, die entfernte Sitzung nicht

Die übliche Beschwerde kommt im Nachhinein. Die virtuelle Maschine startet im Zustand der letzten Woche, der Browserverlauf ist weg, und der Dienst, bei dem sich der Nutzer angemeldet hat, führt die Sitzung weiterhin als aktiv. Nichts ist kaputt; die beiden Systeme waren nie in derselben Transaktion.

Diese Diskrepanz ist die Lehre. Ein Prüfpunkt stellt wieder her, was der Hypervisor verfolgt: die virtuelle Hardware des Gasts und, je nach Typ, seinen Speicher. Er verfolgt nicht die Sitzungstabelle einer Webanwendung, die Zustellwarteschlange eines Mailservers oder den Downloadordner eines Kollegen. Lesen Sie den Typ vor der Wiederherstellung, denn der Typ entscheidet, was eine Wiederherstellung überhaupt zurückholen kann.

Was der Hypervisor tatsächlich gesichert hat

Microsofts Hyper-V-Dokumentation unterscheidet Standardprüfpunkte, die den Speicher zusammen mit den virtuellen Datenträgern erfassen, von Produktionsprüfpunkten, die einen datenkonsistenten Mechanismus verwenden und den Speicher auslassen. Ein Standardprüfpunkt setzt an der Anweisung fort, die der Gast gerade ausführte; ein Produktionsprüfpunkt startet stattdessen von einem konsistenten Datenträger. Dieser Unterschied entscheidet, ob eine Wiederherstellung einen laufenden Prozess oder einen sauberen Start zurückgibt. Übertragen Sie das Verhalten eines Hypervisors nicht auf einen anderen, denn Begriffe und Konsistenzmechanismus ändern sich zwischen Produkten.

Microsoft warnt außerdem, dass ein Prüfpunkt keine Sicherung ist, und die Warnung ist wichtig. Eine Kette von Prüfpunkten auf einem Datenträger teilt dessen Schicksal, sie schützt also vor einer schlechten Änderung statt vor einem verlorenen Host.

Dateien, die außerhalb des Gastdatenträgers leben

Ein freigegebener Ordner ist ein Host-Dateisystem, das dem Gast präsentiert wird, und das Zurücksetzen des Gasts setzt ihn nicht zurück. Wenn der Nutzer eine Datei im Gast heruntergeladen und über einen freigegebenen Pfad nach außen kopiert hat, hat diese zweite Kopie ihren eigenen Lebenszyklus und ihren eigenen Eigentümer. Die Wiederherstellung des Gasts entfernt die erste Kopie und lässt die zweite genau dort, wo sie abgelegt wurde.

Fragen Sie, wem jeder Pfad gehört, bevor Sie eine Wiederherstellung versprechen. Eine Host-Freigabe, eine Zwischenablageübertragung und ein Upload in ein Cloud-Laufwerk sind drei Ziele, und nur das erste liegt vielleicht neben dem Speicher des Hypervisors.

Wo eine Kopie wirklich entfernt werden muss, entfernen Sie sie an ihrem Ziel und halten Sie diesen Schritt getrennt fest. Ein Wiederherstellungsplan, der nur den Snapshot nennt, ist auf eine Weise unvollständig, die niemand bemerkt, bis die Kopie gefunden wird. Dieselbe Vorsicht gilt für Protokolle, die der Host schrieb, während der Gast lief.

Konten, die der Hypervisor nie sah

Alles, was ein Dienst vom Gast angenommen hat, ist die Aufzeichnung des Dienstes, nicht des Gasts. Der Hypervisor hat diese Transaktion nie gesehen und kann sie daher nicht rückgängig machen. Eine Passwortänderung, ein Kauf, eine veröffentlichte Nachricht und ein API-Aufruf bleiben alle in dem System bestehen, das sie verarbeitet hat. Die Wiederherstellung eines Datenträgerabbilds erreicht dieses System nicht.

Der Browserzustand macht die Diskrepanz konkret. Ein wiederhergestellter Gast kann ein älteres Cookie für einen Dienst halten, der die Sitzung inzwischen erneuert hat, sodass der Nutzer angemeldet aussieht und stillschweigend abgewiesen wird, oder abgemeldet aussieht, während der Dienst die Sitzung noch für gültig hält. Die Sitzung beim Dienst zu widerrufen ist der einzige Vorgang, der sie beendet.

Was eine Wiederherstellung nicht rückgängig machen kann

Ein Prüfpunkt ist nützlich für einen genehmigten Test oder ein Konfigurationsexperiment, dessen Umfang verstanden ist. Er ist ein lokales Rückgängigmachen für lokalen Zustand, was ein engeres Versprechen ist, als es klingt, und er ist kein Beleg dafür, dass Host, Hypervisor oder ein externes System sauber geblieben sind. Ein VPN ändert den Weg der Pakete; es macht die Software im Gast nicht sicher ausführbar. Die beiden Aussagen sind getrennt, und nur eine handelt vom Tunnel.

$cp = Get-VMSnapshot -VMName lab-desktop -Name baseline
Get-VMHardDiskDrive -VMSnapshot $cp | Select-Object ControllerType, ControllerNumber, ControllerLocation, Path

Die erste Zeile löst den Prüfpunkt in ein Objekt auf, und die zweite listet die Datenträger auf, die er abdeckt, was die Umfangsfrage mit Belegen statt mit Erinnerung beantwortet. Rotieren und widerrufen Sie ein offengelegtes Geheimnis bei dem Dienst, dem es gehört. Wo bekannter Schadcode im Spiel ist, nutzen Sie eine autorisierte Untersuchungsumgebung und den Reaktionsprozess der Organisation, statt anzunehmen, ein Snapshot mache die Ausführung sicher.

Notieren Sie drei Dinge vor der Wiederherstellung: welchen Gastzustand Sie zurücknehmen, welche externen Systeme den Effekt noch halten und welchen Punkt Sie danach für verlässlich halten. Dieser Plan ist eine stärkere Aussage als eine Maschine, die wieder vertraut aussieht. Bewahren Sie ihn beim Ticket auf, damit die nächste Wiederherstellung mit derselben Liste beginnt.