Hoàn tác ảnh chụp máy ảo: những gì được khôi phục và những gì không
Ảnh chụp máy ảo khôi phục trạng thái ổ đĩa và bộ nhớ của khách, không khôi phục thao tác của tài khoản từ xa, bản sao tệp được chia sẻ hay bản ghi lưu ở nơi khác: trước tiên hãy xác định phạm vi hoàn tác.
Một điểm kiểm soát đưa một phần khách trở lại và để mọi hệ thống khác ở nguyên chỗ cũ. Những gì đã rời khỏi khách — một thông điệp đã gửi, một tệp đã sao chép sang máy chủ, một thao tác tài khoản mà một trang web đã chấp nhận — thuộc về hệ thống đã nhận nó, không thuộc về điểm kiểm soát. Việc hoàn tác có phạm vi cục bộ xác định, và gọi nó là xóa bỏ sẽ biến một kế hoạch khôi phục thành một tuyên bố sai. Bảng dưới đây là danh sách kiểm tra những gì một lần khôi phục thực sự chạm tới.
Màn hình máy tính trở lại, phiên từ xa thì không
Lời phàn nàn quen thuộc đến sau khi sự việc xảy ra. Máy ảo khởi động ở trạng thái của tuần trước, lịch sử trình duyệt đã mất, và dịch vụ mà người dùng đăng nhập vẫn liệt kê phiên là đang hoạt động. Không có gì hỏng; hai hệ thống chưa bao giờ nằm trong cùng một giao dịch.
| Where the effect landed | Who owns undoing it | How you verify it is gone |
|---|---|---|
| Guest virtual disk | The hypervisor, through the checkpoint you restore | The disk state matches the checkpoint's timestamp |
| Guest memory | Only a checkpoint type that saved memory | The guest resumes or cold-boots, as that type dictates |
| Host share or clipboard | The owner of that host path | The copied file is absent at its destination |
| Remote account or session | The service that accepted the action | The session list shows nothing active for that account |
| Mail or message queue | The mail system that delivered it | The message is gone from the recipient's mailbox, not from the guest |
Sự không khớp đó chính là bài học. Một điểm kiểm soát khôi phục những gì hypervisor theo dõi: phần cứng ảo của khách và, tùy theo loại, bộ nhớ của nó. Nó không theo dõi bảng phiên của một ứng dụng web, hàng đợi gửi thư của một máy chủ thư hay thư mục tải xuống của đồng nghiệp. Hãy đọc loại trước khi khôi phục, vì loại quyết định những gì một lần khôi phục có thể lấy lại được.
Hypervisor thực sự đã lưu gì
Tài liệu Hyper-V của Microsoft phân biệt các điểm kiểm soát tiêu chuẩn, vốn ghi lại bộ nhớ cùng với các ổ đĩa ảo, với các điểm kiểm soát sản xuất, vốn dùng cơ chế nhất quán với dữ liệu và bỏ qua bộ nhớ. Một điểm kiểm soát tiêu chuẩn tiếp tục từ chỉ thị mà khách đang thực thi; điểm kiểm soát sản xuất thì khởi động từ một ổ đĩa nhất quán. Sự khác biệt đó quyết định việc khôi phục trả lại một tiến trình đang chạy hay một khởi đầu sạch. Đừng chuyển hành vi của hypervisor này sang hypervisor khác, vì thuật ngữ và cơ chế nhất quán khác nhau giữa các sản phẩm.
Microsoft cũng cảnh báo rằng điểm kiểm soát không phải bản sao lưu, và cảnh báo đó quan trọng. Một chuỗi điểm kiểm soát trên cùng một ổ chia sẻ số phận của ổ đó, nên nó bảo vệ chống lại một thay đổi tồi chứ không phải một máy chủ bị mất.
Những tệp sống ngoài ổ đĩa của khách
Thư mục chia sẻ là hệ thống tệp của máy chủ được trình ra cho khách, và hoàn tác khách không hoàn tác nó. Nếu người dùng tải một tệp bên trong khách và sao chép nó ra ngoài qua một đường dẫn chia sẻ, bản sao thứ hai đó có vòng đời riêng và chủ sở hữu riêng. Khôi phục khách sẽ xóa bản sao đầu tiên và để bản sao thứ hai đúng chỗ nó đã được đặt.
Hãy hỏi ai sở hữu từng đường dẫn trước khi hứa hoàn tác. Chia sẻ máy chủ, chuyển qua bộ nhớ tạm và tải lên ổ đĩa đám mây là ba đích đến, và chỉ đích đầu tiên có thể nằm cạnh kho lưu trữ của hypervisor.
Nơi một bản sao thực sự phải bị xóa, hãy xóa nó tại đích của nó và ghi lại bước đó riêng. Một kế hoạch khôi phục chỉ liệt kê ảnh chụp là chưa đầy đủ theo cách không ai nhận ra cho đến khi bản sao được tìm thấy. Cùng sự thận trọng đó áp dụng cho nhật ký mà máy chủ đã ghi trong khi khách chạy.
Những tài khoản mà hypervisor chưa bao giờ thấy
Mọi thứ một dịch vụ đã chấp nhận từ khách là bản ghi của dịch vụ, không phải của khách. Hypervisor chưa bao giờ thấy giao dịch đó, nên không thể đảo ngược nó. Một lần đổi mật khẩu, một giao dịch mua, một thông điệp đã đăng và một lệnh gọi API đều tồn tại trong hệ thống đã xử lý chúng. Khôi phục một ảnh đĩa không chạm tới hệ thống đó.
Trạng thái trình duyệt làm cho sự không khớp trở nên cụ thể. Một khách được khôi phục có thể giữ cookie cũ hơn cho một dịch vụ đã đổi phiên kể từ đó, nên người dùng trông như đã đăng nhập và bị từ chối trong im lặng, hoặc trông như đã đăng xuất trong khi dịch vụ vẫn coi phiên là hợp lệ. Thu hồi phiên tại dịch vụ là thao tác duy nhất kết thúc nó.
Những gì khôi phục không thể hủy
Một điểm kiểm soát hữu ích cho một thử nghiệm đã được phê duyệt hoặc một thí nghiệm cấu hình mà phạm vi đã được hiểu. Đó là hoàn tác cục bộ cho trạng thái cục bộ, một lời hứa hẹp hơn vẻ ngoài của nó, và không phải bằng chứng rằng máy chủ, hypervisor hay bất kỳ hệ thống bên ngoài nào vẫn sạch. VPN thay đổi đường đi của các gói tin; nó không làm cho phần mềm trong khách an toàn để chạy. Hai khẳng định là riêng biệt và chỉ một trong số đó nói về đường hầm.
$cp = Get-VMSnapshot -VMName lab-desktop -Name baseline
Get-VMHardDiskDrive -VMSnapshot $cp | Select-Object ControllerType, ControllerNumber, ControllerLocation, PathDòng đầu tiên phân giải điểm kiểm soát thành một đối tượng, và dòng thứ hai liệt kê các ổ đĩa mà nó bao phủ, điều này trả lời câu hỏi về phạm vi bằng bằng chứng thay vì trí nhớ. Hãy xoay vòng và thu hồi một bí mật bị lộ tại dịch vụ sở hữu nó. Nơi có mã độc đã biết, hãy dùng môi trường điều tra được ủy quyền và quy trình ứng phó của tổ chức thay vì cho rằng ảnh chụp làm cho việc thực thi an toàn.
Hãy ghi ba điều trước khi khôi phục: bạn đang lấy lại trạng thái khách nào, hệ thống bên ngoài nào vẫn giữ hiệu ứng, và bạn sẽ tin vào điểm nào sau đó. Kế hoạch đó là một khẳng định mạnh hơn một cỗ máy trông lại quen thuộc. Hãy giữ nó cùng phiếu để lần khôi phục tiếp theo bắt đầu từ cùng danh sách.