Відкат знімка віртуальної машини: що він відновлює, а що ні
Знімок ВМ відновлює стан диска й пам'яті гостьової системи, але не дії віддалених облікових записів, копії спільних файлів чи записи, що зберігаються в іншому місці: спершу визначте межі відкату.
Контрольна точка повертає частину гостьової системи назад і залишає кожну іншу систему там, де вона була. Те, що залишило гостьову систему — доставлене повідомлення, файл, скопійований на хост, дія облікового запису, яку прийняв сайт, — належить системі, яка це отримала, а не контрольній точці. Відкат має визначені локальні межі, і називати його стиранням означає перетворювати план відновлення на хибне твердження. Таблиця нижче — це контрольний список того, чого відновлення справді сягає.
Робочий стіл повертається, віддалений сеанс — ні
Звичайна скарга приходить уже після події. Віртуальна машина завантажується в стані минулого тижня, історія браузера зникла, а служба, до якої увійшов користувач, досі показує сеанс активним. Нічого не зламано; дві системи ніколи не були в одній транзакції.
| Where the effect landed | Who owns undoing it | How you verify it is gone |
|---|---|---|
| Guest virtual disk | The hypervisor, through the checkpoint you restore | The disk state matches the checkpoint's timestamp |
| Guest memory | Only a checkpoint type that saved memory | The guest resumes or cold-boots, as that type dictates |
| Host share or clipboard | The owner of that host path | The copied file is absent at its destination |
| Remote account or session | The service that accepted the action | The session list shows nothing active for that account |
| Mail or message queue | The mail system that delivered it | The message is gone from the recipient's mailbox, not from the guest |
Ця невідповідність і є уроком. Контрольна точка відновлює те, що відстежує гіпервізор: віртуальне обладнання гостьової системи і, залежно від типу, її пам'ять. Вона не відстежує таблицю сеансів вебзастосунку, чергу доставки поштового сервера або теку завантажень колеги. Прочитайте тип перед відновленням, бо тип вирішує, що відновлення взагалі здатне повернути.
Що гіпервізор насправді зберіг
Документація Microsoft щодо Hyper-V розрізняє стандартні контрольні точки, які захоплюють пам'ять разом із віртуальними дисками, і виробничі, які використовують механізм узгодженості даних і пропускають пам'ять. Стандартна контрольна точка продовжується з інструкції, яку виконувала гостьова система; виробнича натомість завантажується з узгодженого диска. Ця різниця вирішує, чи поверне відновлення працюючий процес, чи чистий старт. Не переносьте поведінку одного гіпервізора на інший, бо терміни й механізм узгодженості різняться між продуктами.
Microsoft також попереджає, що контрольна точка не є резервною копією, і це попередження важливе. Ланцюг контрольних точок на одному томі поділяє долю цього тому, тож він захищає від поганої зміни, а не від втраченого хоста.
Файли, що живуть поза диском гостьової системи
Спільна тека — це файлова система хоста, надана гостьовій системі, і відкат гостьової системи її не відкочує. Якщо користувач завантажив файл усередині гостьової системи й скопіював його назовні спільним шляхом, ця друга копія має власний життєвий цикл і власного власника. Відновлення гостьової системи видаляє першу копію й залишає другу точно там, куди її поклали.
Запитайте, кому належить кожен шлях, перш ніж обіцяти відкат. Спільний ресурс хоста, передавання через буфер обміну й завантаження на хмарний диск — це три пункти призначення, і лише перший може бути поруч зі сховищем гіпервізора.
Там, де копію справді треба видалити, видаліть її в місці призначення й зафіксуйте цей крок окремо. План відновлення, у якому перелічено лише знімок, неповний так, що цього ніхто не помічає, доки копію не знайдуть. Та сама обережність стосується журналів, які хост записував, поки гостьова система працювала.
Облікові записи, яких гіпервізор ніколи не бачив
Усе, що служба прийняла від гостьової системи, — це запис служби, а не гостьової системи. Гіпервізор ніколи не бачив цієї транзакції, тому не може її обернути. Зміна пароля, покупка, опубліковане повідомлення й виклик API залишаються в системі, яка їх обробила. Відновлення образу диска до цієї системи не доходить.
Стан браузера робить невідповідність наочною. Відновлена гостьова система може зберігати старіший cookie для служби, яка відтоді змінила сеанс, тож користувач виглядає як такий, що ввійшов, і отримує тиху відмову, або виглядає як такий, що вийшов, поки служба ще вважає сеанс чинним. Відкликання сеансу в службі — єдина операція, яка його завершує.
Чого відновлення не може скасувати
Контрольна точка корисна для схваленого тесту або експерименту з конфігурацією, межі якого зрозумілі. Це локальне скасування для локального стану, вужча обіцянка, ніж здається, і це не доказ того, що хост, гіпервізор чи будь-яка зовнішня система залишилися чистими. VPN змінює шлях, яким ідуть пакети; він не робить програмне забезпечення в гостьовій системі безпечним для запуску. Ці два твердження окремі, і лише одне з них про тунель.
$cp = Get-VMSnapshot -VMName lab-desktop -Name baseline
Get-VMHardDiskDrive -VMSnapshot $cp | Select-Object ControllerType, ControllerNumber, ControllerLocation, PathПерший рядок перетворює контрольну точку на об'єкт, а другий перелічує диски, які вона охоплює, що відповідає на питання про межі доказом, а не пам'яттю. Змініть і відкличте розкритий секрет у службі, якій він належить. Там, де задіяно відомий шкідливий код, використовуйте уповноважене середовище розслідування й процес реагування організації, а не припущення, що знімок робить виконання безпечним.
Запишіть три речі перед відновленням: який стан гостьової системи ви повертаєте, які зовнішні системи ще тримають ефект і якій точці ви довірятимете після. Цей план — сильніше твердження, ніж машина, яка знову виглядає знайомою. Тримайте його разом із заявкою, щоб наступне відновлення починалося з того самого списку.