Reverter um snapshot de máquina virtual: o que restaura e o que não
Um snapshot de VM restaura o estado do disco e da memória do convidado, não as ações de contas remotas, as cópias de ficheiros partilhados ou os registos guardados noutro lugar: defina primeiro o alcance da reversão.
Um ponto de verificação devolve parte do convidado atrás e deixa cada outro sistema onde estava. O que saiu do convidado — uma mensagem entregue, um ficheiro copiado para o anfitrião, uma ação de conta que um sítio aceitou — pertence ao sistema que a recebeu, não ao ponto de verificação. A reversão tem um alcance local definido, e chamar-lhe eliminação transforma um plano de recuperação numa afirmação falsa. A tabela abaixo é a lista de verificação do que uma restauração alcança realmente.
O ambiente de trabalho volta, a sessão remota não
A queixa habitual chega depois do facto. A máquina virtual arranca no estado da semana passada, o histórico do navegador desapareceu e o serviço onde o utilizador iniciou sessão continua a listar a sessão como ativa. Nada está partido; os dois sistemas nunca estiveram na mesma transação.
| Where the effect landed | Who owns undoing it | How you verify it is gone |
|---|---|---|
| Guest virtual disk | The hypervisor, through the checkpoint you restore | The disk state matches the checkpoint's timestamp |
| Guest memory | Only a checkpoint type that saved memory | The guest resumes or cold-boots, as that type dictates |
| Host share or clipboard | The owner of that host path | The copied file is absent at its destination |
| Remote account or session | The service that accepted the action | The session list shows nothing active for that account |
| Mail or message queue | The mail system that delivered it | The message is gone from the recipient's mailbox, not from the guest |
Essa discrepância é a lição. Um ponto de verificação restaura o que o hipervisor acompanha: o hardware virtual do convidado e, consoante o tipo, a sua memória. Não acompanha a tabela de sessões de uma aplicação web, a fila de entrega de um servidor de correio nem a pasta de transferências de um colega. Leia o tipo antes de restaurar, porque o tipo decide o que uma restauração pode recuperar, se é que pode recuperar algo.
O que o hipervisor guardou realmente
A documentação Hyper-V da Microsoft distingue os pontos de verificação padrão, que capturam a memória juntamente com os discos virtuais, dos pontos de verificação de produção, que usam um mecanismo coerente com os dados e dispensam a memória. Um ponto de verificação padrão retoma na instrução que o convidado estava a executar; um de produção arranca, em vez disso, a partir de um disco coerente. Essa diferença decide se uma restauração devolve um processo em execução ou um início limpo. Não transfira o comportamento de um hipervisor para outro, porque os termos e o mecanismo de coerência mudam entre produtos.
A Microsoft avisa também que um ponto de verificação não é uma cópia de segurança, e o aviso importa. Uma cadeia de pontos de verificação num único volume partilha o destino desse volume, pelo que protege contra uma alteração má e não contra um anfitrião perdido.
Ficheiros que vivem fora do disco do convidado
Uma pasta partilhada é um sistema de ficheiros do anfitrião apresentado ao convidado, e reverter o convidado não a reverte. Se o utilizador transferiu um ficheiro dentro do convidado e o copiou para fora por um caminho partilhado, essa segunda cópia tem o seu próprio ciclo de vida e o seu próprio dono. Restaurar o convidado remove a primeira cópia e deixa a segunda exatamente onde foi colocada.
Pergunte quem possui cada caminho antes de prometer uma reversão. Uma partilha do anfitrião, uma transferência pela área de transferência e um envio para um disco na nuvem são três destinos, e só o primeiro pode estar junto ao armazenamento do hipervisor.
Onde uma cópia tem mesmo de ser removida, remova-a no seu destino e registe esse passo em separado. Um plano de recuperação que apenas enumera o snapshot está incompleto de uma forma que ninguém nota até a cópia ser encontrada. A mesma cautela aplica-se aos registos que o anfitrião escreveu enquanto o convidado corria.
Contas que o hipervisor nunca viu
Tudo o que um serviço aceitou do convidado é registo do serviço, não do convidado. O hipervisor nunca viu essa transação, por isso não a pode inverter. Uma alteração de palavra-passe, uma compra, uma mensagem publicada e uma chamada à API persistem todos no sistema que os processou. Restaurar uma imagem de disco não alcança esse sistema.
O estado do navegador torna a discrepância concreta. Um convidado restaurado pode guardar um cookie mais antigo para um serviço que entretanto renovou a sessão, pelo que o utilizador parece ter iniciado sessão e é rejeitado em silêncio, ou parece tê-la terminado enquanto o serviço ainda considera a sessão válida. Revogar a sessão no serviço é a única operação que lhe põe fim.
O que uma restauração não pode desfazer
Um ponto de verificação é útil para um teste aprovado ou uma experiência de configuração cujo alcance se compreende. É um desfazer local para estado local, uma promessa mais estreita do que parece, e não é prova de que o anfitrião, o hipervisor ou qualquer sistema externo tenham ficado limpos. Uma VPN muda o caminho que os pacotes tomam; não torna o software no convidado seguro de executar. As duas afirmações são separadas e só uma diz respeito ao túnel.
$cp = Get-VMSnapshot -VMName lab-desktop -Name baseline
Get-VMHardDiskDrive -VMSnapshot $cp | Select-Object ControllerType, ControllerNumber, ControllerLocation, PathA primeira linha resolve o ponto de verificação num objeto, e a segunda enumera os discos que ele cobre, o que responde à pergunta do alcance com provas em vez de memória. Rode e revogue um segredo exposto no serviço que o possui. Onde houver código malicioso conhecido em jogo, use um ambiente de investigação autorizado e o processo de resposta da organização em vez de presumir que um snapshot torna a execução segura.
Anote três coisas antes da restauração: que estado do convidado recupera, que sistemas externos ainda detêm o efeito e em que ponto confiará depois. Esse plano é uma afirmação mais forte do que uma máquina que volta a parecer familiar. Guarde-o com o pedido para que a próxima restauração comece pela mesma lista.