Ripristinare uno snapshot di macchina virtuale: cosa ripristina e cosa no
Uno snapshot di VM ripristina lo stato del disco e della memoria dell’ospite, non le azioni di account remoti, le copie di file condivisi o i registri tenuti altrove: definite prima l’ambito del ripristino.
Un punto di controllo riporta indietro una parte dell’ospite e lascia ogni altro sistema dov’era. Ciò che ha lasciato l’ospite — un messaggio recapitato, un file copiato sull’host, un’azione di account accettata da un sito — appartiene al sistema che l’ha ricevuta, non al punto di controllo. Il ripristino ha un ambito locale definito, e chiamarlo cancellazione trasforma un piano di recupero in un’affermazione falsa. La tabella sotto è la lista di controllo di ciò che un ripristino raggiunge davvero.
Il desktop torna, la sessione remota no
La solita lamentela arriva a posteriori. La macchina virtuale si avvia nello stato della settimana scorsa, la cronologia del browser è sparita e il servizio a cui l’utente ha effettuato l’accesso elenca ancora la sessione come attiva. Nulla è rotto; i due sistemi non sono mai stati nella stessa transazione.
| Where the effect landed | Who owns undoing it | How you verify it is gone |
|---|---|---|
| Guest virtual disk | The hypervisor, through the checkpoint you restore | The disk state matches the checkpoint's timestamp |
| Guest memory | Only a checkpoint type that saved memory | The guest resumes or cold-boots, as that type dictates |
| Host share or clipboard | The owner of that host path | The copied file is absent at its destination |
| Remote account or session | The service that accepted the action | The session list shows nothing active for that account |
| Mail or message queue | The mail system that delivered it | The message is gone from the recipient's mailbox, not from the guest |
Questa discrepanza è la lezione. Un punto di controllo ripristina ciò che l’hypervisor tiene traccia: l’hardware virtuale dell’ospite e, a seconda del tipo, la sua memoria. Non tiene traccia della tabella delle sessioni di un’applicazione web, della coda di consegna di un server di posta o della cartella dei download di un collega. Leggete il tipo prima di ripristinare, perché il tipo decide che cosa un ripristino può recuperare, sempre che possa recuperare qualcosa.
Che cosa ha davvero salvato l’hypervisor
La documentazione Hyper-V di Microsoft distingue i punti di controllo standard, che catturano la memoria insieme ai dischi virtuali, dai punti di controllo di produzione, che usano un meccanismo coerente con i dati e saltano la memoria. Un punto di controllo standard riprende dall’istruzione che l’ospite stava eseguendo; uno di produzione si avvia invece da un disco coerente. Questa differenza decide se un ripristino restituisce un processo in esecuzione o un avvio pulito. Non trasferite il comportamento di un hypervisor a un altro, perché i termini e il meccanismo di coerenza cambiano tra i prodotti.
Microsoft avverte anche che un punto di controllo non è un backup, e l’avvertimento conta. Una catena di punti di controllo su un solo volume ne condivide il destino, quindi protegge da una modifica sbagliata più che da un host perduto.
File che vivono fuori dal disco dell’ospite
Una cartella condivisa è un file system dell’host presentato all’ospite, e ripristinare l’ospite non la ripristina. Se l’utente ha scaricato un file dentro l’ospite e l’ha copiato fuori tramite un percorso condiviso, quella seconda copia ha un proprio ciclo di vita e un proprio proprietario. Ripristinare l’ospite elimina la prima copia e lascia la seconda esattamente dove è stata messa.
Chiedete chi possiede ogni percorso prima di promettere un ripristino. Una condivisione dell’host, un trasferimento tramite appunti e un caricamento su un disco cloud sono tre destinazioni, e solo la prima può trovarsi accanto all’archiviazione dell’hypervisor.
Dove una copia deve essere davvero rimossa, rimuovetela alla sua destinazione e registrate quel passo a parte. Un piano di recupero che elenca solo lo snapshot è incompleto in un modo che nessuno nota finché la copia non viene trovata. La stessa cautela vale per i registri che l’host ha scritto mentre l’ospite era in esecuzione.
Account che l’hypervisor non ha mai visto
Tutto ciò che un servizio ha accettato dall’ospite è un registro del servizio, non dell’ospite. L’hypervisor non ha mai visto quella transazione, quindi non può invertirla. Un cambio di password, un acquisto, un messaggio pubblicato e una chiamata API persistono tutti nel sistema che li ha elaborati. Ripristinare un’immagine del disco non raggiunge quel sistema.
Lo stato del browser rende concreta la discrepanza. Un ospite ripristinato può conservare un cookie più vecchio per un servizio che nel frattempo ha ruotato la sessione, così l’utente sembra aver effettuato l’accesso e viene respinto in silenzio, oppure sembra averlo chiuso mentre il servizio considera ancora valida la sessione. Revocare la sessione presso il servizio è l’unica operazione che vi pone fine.
Ciò che un ripristino non può annullare
Un punto di controllo è utile per un test approvato o un esperimento di configurazione di cui si comprende l’ambito. È un annullamento locale per stato locale, una promessa più stretta di quanto sembri, e non è prova che l’host, l’hypervisor o un sistema esterno siano rimasti puliti. Una VPN cambia il percorso che prendono i pacchetti; non rende il software nell’ospite sicuro da eseguire. Le due affermazioni sono separate e solo una riguarda il tunnel.
$cp = Get-VMSnapshot -VMName lab-desktop -Name baseline
Get-VMHardDiskDrive -VMSnapshot $cp | Select-Object ControllerType, ControllerNumber, ControllerLocation, PathLa prima riga risolve il punto di controllo in un oggetto, e la seconda elenca i dischi che copre, il che risponde alla domanda sull’ambito con prove invece che con la memoria. Ruotate e revocate un segreto esposto presso il servizio che lo possiede. Dove è in gioco codice malevolo noto, usate un ambiente di indagine autorizzato e il processo di risposta dell’organizzazione invece di dare per scontato che uno snapshot renda l’esecuzione sicura.
Annotate tre cose prima del ripristino: quale stato dell’ospite riprendete, quali sistemi esterni detengono ancora l’effetto e a quale punto vi fiderete dopo. Quel piano è un’affermazione più forte di una macchina che torna a sembrare familiare. Conservatelo con il ticket perché il prossimo ripristino parta dalla stessa lista.