Recuperar datos de VMware ESXi: máquinas virtuales corrompidas o eliminadas

La virtualización con VMware ESXi y vSphere es la columna vertebral de la infraestructura IT de miles de empresas. Su robustez no es, sin embargo, sinónimo de invulnerabilidad: una VM eliminada por error, un archivo VMDK corrompido o un fallo en el almacenamiento subyacente pueden paralizar sistemas críticos en minutos. En este artículo describimos los escenarios más frecuentes y el proceso de recuperación profesional.

Escenarios de pérdida de datos en VMware ESXi

Los incidentes más habituales que llegan a los laboratorios de recuperación son:

• VM eliminada accidentalmente: un administrador borra desde vSphere Client una máquina virtual con la opción “Delete from disk”. Los ficheros VMDK, VMX y los snapshots desaparecen del datastore.
• Corrupción del VMDK: el archivo de disco virtual (.vmdk) pierde su encabezado o sus metadatos internos, impidiendo que la VM arranque. Suele ocurrir tras cortes eléctricos bruscos o errores de escritura en el almacenamiento.
• Fallo del datastore: el LUN o volumen NFS sobre el que reside el datastore se vuelve inaccesible por fallo del SAN, NAS o del controlador de almacenamiento.
• Caída del host ESXi: un fallo hardware del servidor físico (RAM, placa base) o una actualización de firmware mal aplicada deja el host inoperativo con las VMs almacenadas localmente.
• Corrupción del sistema de archivos VMFS: el volumen VMFS presenta errores que impiden montar el datastore, aunque los datos de las VMs pueden estar intactos en el disco subyacente.
• Ransomware en el entorno virtual: algunas variantes modernas atacan específicamente hipervisores ESXi, cifrando los VMDK directamente para maximizar el impacto.

El sistema de archivos VMFS

VMFS (Virtual Machine File System) es el sistema de archivos en clúster propietario de VMware, optimizado para almacenar VMDK de gran tamaño y soportar el acceso concurrente de múltiples hosts ESXi. Existen varias versiones: VMFS-3, VMFS-5 y VMFS-6 (introducida en ESXi 6.5, con soporte nativo para discos 4K Advanced Format).

Las estructuras críticas de VMFS son el superbloque, la heartbeat region, los descriptores de fichero y el bitmap de espacio libre. Un daño en el superbloque hace que el datastore sea invisible para ESXi, aunque los datos de las VMs estén completamente intactos en el disco subyacente.

A diferencia de NTFS o ext4, VMFS no cuenta con utilidades de reparación ampliamente disponibles para el usuario final; la recuperación sólida requiere herramientas especializadas o intervención profesional.

vmkfstools: reparación de VMDK desde la línea de comandos

VMware incluye en ESXi la utilidad vmkfstools, que permite realizar operaciones de bajo nivel sobre ficheros VMDK. Algunos comandos útiles en escenarios de corrupción lógica:

• vmkfstools -x check disk.vmdk: comprueba la consistencia del VMDK sin modificarlo.
• vmkfstools -x repair disk.vmdk: intenta reparar los metadatos del VMDK. Solo es efectivo para corrupciones lógicas leves.
• vmkfstools -i source.vmdk dest.vmdk: clona el VMDK a una nueva ubicación, saltando en la medida de lo posible los bloques inaccesibles.

Importante: antes de ejecutar cualquier operación de reparación, realiza siempre una copia del VMDK original. Las operaciones de reparación modifican el fichero y pueden dificultar la recuperación posterior si no tienen éxito.

Recuperación desde snapshots de VMware

VMware soporta snapshots que capturan el estado de la VM en un momento dado. Los snapshots se almacenan como ficheros VMDK diferenciales (delta disks) junto al VMDK base. Si la VM tiene snapshots recientes y el problema afecta solo al estado actual, revertir a un snapshot anterior puede restaurar el sistema en minutos.

Sin embargo, los snapshots tienen limitaciones importantes como mecanismo de backup: no son copias independientes, dependen del VMDK base, y si el datastore falla, los snapshots fallan con él. Además, los snapshots de larga duración crecen en tamaño y degradan el rendimiento de la VM.

vSphere Data Protection y soluciones de backup modernas

Para entornos vCenter, vSphere Data Protection (VDP) era la solución integrada hasta su descontinuación en vSphere 6.7. Las alternativas actuales recomendadas son Veeam Backup & Replication y VMware Live Recovery. Estas soluciones realizan backups a nivel de imagen vía la API VADP, permitiendo recuperar VMs completas o ficheros individuales sin agentes dentro de la VM.

Si dispones de backups válidos y recientes, la recuperación es generalmente directa. El problema llega cuando los backups son inexistentes, están desactualizados o también han sido afectados por el mismo incidente que los datos originales.

Cuando el almacenamiento subyacente falla: SAN/NAS con VMFS

En la mayoría de los entornos empresariales, los datastores de VMware residen en almacenamiento compartido: SAN Fibre Channel, iSCSI o NFS sobre NAS. Cuando este almacenamiento falla, el problema tiene dos capas:

1. Recuperación del almacenamiento físico: si el SAN o NAS tiene una avería hardware (controladora, discos en RAID degradado), primero hay que recuperar el almacenamiento al estado en que el sistema de archivos era accesible.
2. Recuperación del VMFS: una vez recuperado el almacenamiento, si VMFS presenta corrupciones se aplican las técnicas de reconstrucción de sus estructuras internas.

Los laboratorios especializados cuentan con software como R-Studio for VMware o herramientas propietarias capaces de reconstruir estructuras VMFS sin necesidad de un datastore montable, extrayendo directamente los VMDK y su contenido.

Hyper-V: escenarios equivalentes

El equivalente de VMware en el ecosistema Microsoft es Hyper-V, cuyas VMs se almacenan en ficheros VHD o VHDX sobre volumen NTFS o ReFS. Las técnicas de recuperación son similares: montaje del VHD en modo solo lectura para extraer datos, reparación con el cmdlet Repair-VHD de PowerShell, o recuperación desde backups de Windows Server Backup o Azure Backup.

El proceso de recuperación profesional en RecuperaTusDatos.es

Cuando recibimos un caso de recuperación VMware seguimos este proceso estructurado:

1. Diagnóstico inicial (gratuito): evaluamos el estado del almacenamiento físico y determinamos si el problema es hardware, lógico o una combinación de ambos.
2. Imagen forense: creamos una copia bit a bit del almacenamiento antes de cualquier intervención. Trabajamos siempre sobre la imagen, nunca sobre el original.
3. Reconstrucción de VMFS: si el sistema de archivos está dañado, reconstruimos sus estructuras para hacer accesibles los ficheros VMDK.
4. Extracción y montaje de VMDK: montamos los VMDK recuperados en modo solo lectura para acceder al sistema de archivos interno de la VM (NTFS, ext4, XFS, etc.).
5. Entrega verificada: los datos recuperados se verifican con el cliente antes de la entrega. Solo se cobra si la recuperación es exitosa.