Ihre Frage direkt beantworten : 0211/635 59 140

Menü Hide

Datenträger anmelden

Zusammenfassung: Sparse-Virtual-Disks werden bei Bedarf erweitert, anstatt ihre gesamte Größe im Voraus zu reservieren. In diesem Leitfaden wird erläutert, wie dieser Zuweisungsmechanismus funktioniert, es werden die strukturellen Unterschiede zwischen dem VMDK-Format (Virtual Machine Disk) von VMware und dem VHDX-Format (Virtual Hard Disk) von Hyper-V verglichen, es wird untersucht, wie sich die jeweiligen Formate bei der Bereitstellung auf einem RAID-Array verhalten, und es werden die verfügbaren Optionen für die Datenrettung bei einer Beschädigung von Sparse-Dateien behandelt.

Jede Virtualisierungsumgebung steht vor dem gleichen betrieblichen Dilemma. Eine großzügige Bereitstellung berücksichtigt das Wachstum, lässt jedoch physische Kapazitäten ungenutzt. Eine konservative Bereitstellung bewahrt die Speichereffizienz, doch der verfügbare Spielraum geht schnell zur Neige. Das Sparse-Format löst diese Einschränkung.

Eine spärlich besetzte virtuelle Festplatte belegt nur den Speicherplatz, auf den das Gastbetriebssystem geschrieben hat. Eine 100-GB-Festplatte, auf der ein 20-GB-Betriebssystem gespeichert ist, belegt etwa 20 GB Speicherplatz im Datenspeicher, sodass der Rest für andere virtuelle Maschinen verfügbar bleibt. Die Vorteile dieses Ansatzes sind beträchtlich. Die Kompromisse sind ebenso bedeutend, und beide treten deutlich zutage, wenn es zu einem Ausfall der Speicherschicht kommt.

Das Verständnis der Funktionsweise des Sparse-Formats und der damit verbundenen Risiken ist daher für jeden Administrator, der für die Verwaltung einer virtuellen Infrastruktur verantwortlich ist, unerlässlich.

Was ist ein virtuelles Festplattenformat?

Ein virtuelles Festplattenformat ist eine Datei – oder manchmal eine kleine Sammlung von Dateien –, die der Hypervisor einem Gastbetriebssystem als physisches Speichergerät präsentiert. Das Gastbetriebssystem erkennt einen SCSI- oder SATA-Controller. Die Festplatte ist im Grunde ein Container, der sich innerhalb eines größeren Host-Dateisystems befindet – ein Detail, das für den Gast transparent bleibt und keine Kenntnis auf Gast-Ebene erfordert.

Jedes Element, das ein physisches Laufwerk enthält, ist in diesem Container vorhanden: Partitionstabellen, Master-Boot-Records, Dateisysteme und Benutzerdaten. Der Speicherort variiert je nach Plattform. VMware speichert diese Dateien im Virtual Machine File System (VMFS), während Hyper-V NTFS oder das Resilient File System (ReFS) verwendet. Unabhängig von der Plattform bestimmt das Format, wie die Lese- und Schreibvorgänge des Gastbetriebssystems in tatsächliche Vorgänge auf der zugrunde liegenden physischen Festplatte umgesetzt werden.

Was ist das „Sparse“-Format?

Eine „Sparse“-Festplatte weist Speicherplatz dynamisch zu und belegt Speicherplatz auf dem Array erst dann, wenn der Gast Daten darauf schreibt. Dies steht im Gegensatz zu einer „Thick-Provisioned“-Festplatte, auch als „Flat“-Festplatte bezeichnet, die bei ihrer Erstellung ihre gesamte zugewiesene Kapazität beansprucht und jeden Block auf dem Array mit Nullen füllt, bevor Gastdaten eintreffen.

An dieser Stelle ist eine kurze Klarstellung der Terminologie angebracht. Sparse- und Thin-Provisioning beziehen sich auf dasselbe zugrunde liegende Konzept: Kapazität wird bedarfsgerecht zugewiesen und erweitert sich mit zunehmender Datenmenge. Wenn in Diskussionen „Sparse-Provisioning versus Thin-Provisioning“ verglichen wird, wird in der Regel das Sparse-Format eines Anbieters dem Thin-Format eines anderen Anbieters gegenübergestellt, anstatt zwei unterschiedliche Zuweisungsstrategien zu beschreiben. Die für die Kapazitätsplanung tatsächlich relevante Unterscheidung besteht zwischen Sparse- oder Thin-Provisioning auf der einen Seite und Thick- oder Flat-Provisioning auf der anderen Seite.

Wie weisen „Sparse“-Festplatten Speicherplatz bedarfsgerecht zu?

Wenn eine Gastanwendung einen Schreibvorgang auslöst, fängt der Hypervisor diesen ab, ermittelt den logischen Speicherort für diese Daten, fügt sie an das Ende der Host-Datei an und aktualisiert eine interne Metadatentabelle, um den logischen Sektor des Gasts mit seinem neuen physischen Offset zu verknüpfen. Logische Blöcke nehmen selten eine zusammenhängende physische Reihenfolge ein, was eine inhärente Folge der bedarfsorientierten Zuweisung ist.

Wenn eine Datei im Gast gelöscht wird, schrumpft die entsprechende Host-Datei nicht. Der Hypervisor markiert die zugrunde liegenden Blöcke als zum Überschreiben verfügbar, doch ist ein separater Rückgewinnungsprozess erforderlich, bevor dieser Speicherplatz auf dem Host freigegeben wird.

Sparse-VMDK (VMware)

In einer VMware-Produktionsumgebung besteht eine „Sparse“-VMDK aus zwei Komponenten: einer Text-Deskriptordatei, die die Festplattengeometrie festlegt, und einer oder mehreren Extent-Dateien, die die Binärdaten enthalten. Ausgehend vom Deskriptor erstreckt sich eine Kette von Zeigern nach unten durch das Grain-Verzeichnis und die Grain-Tabellen bis hin zu den Datenblöcken selbst, die als „Grains“ bezeichnet werden. Standardmäßig misst jedes Grain 64 KB.

In Produktionsumgebungen gibt es zwei Varianten. „Monolithic Sparse“ konsolidiert alle Daten in einer einzigen zusammenhängenden Datei und stellt die Standardkonfiguration für die meisten Produktionssysteme dar. „Split Sparse“ unterteilt die Festplatte in 2-GB-Extents und wird ausschließlich aus Gründen der Abwärtskompatibilität mit älteren Dateisystemen beibehalten, die keine großen Einzeldateien verarbeiten können.

Sparse VHD/VHDX (Hyper-V)

Das entsprechende Microsoft-Format durchlief einen bedeutenden Generationswechsel. Das ältere VHD-Format ist auf eine Kapazität von 2 TB begrenzt. VHDX erhöhte diese Obergrenze auf 64 TB und führte eine Blockzuordnungstabelle ein, um den Datenstatus innerhalb der gesamten Struktur zu verfolgen.

Ein weiteres Merkmal von VHDX ist für die Speicherplanung von Bedeutung. Seine physische Sektorgröße ist auf 4 KB ausgerichtet, was der Spezifikation moderner Laufwerke im Advanced-Format entspricht und die Schreibverstärkung reduziert. Die Blockgröße bezieht sich auf die Speichereinheit, die VHDX bei jeder Erweiterung verwendet, und beträgt standardmäßig 32 MB auf dynamischen Datenträgern. Größere Blöcke erfordern weniger Metadaten-Overhead, lassen sich jedoch in gröberen Schritten erweitern. Microsoft empfiehlt, diesen Wert für Linux-Gastbetriebssysteme auf 1 MB zu reduzieren.

Vergleich zwischen Sparse- und Flat-/Raw-Format

Flat-Datenträger reservieren bereits bei der Erstellung die volle Kapazität. Ein 50-GB-Flat-Datenträger belegt sofort 50 GB Speicherplatz im Datenspeicher, unabhängig davon, wie viel Speicherplatz innerhalb des Gastbetriebssystems tatsächlich genutzt wird. Der Hypervisor setzt bei der Erstellung jeden Block auf Null, weshalb die Bereitstellung eines großen Flat-Datenträgers zeitaufwendig ist.

Die betrieblichen Auswirkungen des Sparse-Formats sind im Vergleich dazu wie folgt:

  • Der restliche Speicherplatzbedarf bleibt minimal und wächst erst mit dem Schreiben von Daten.
  • Die Bereitstellung erfolgt schnell, da die Phase des Nullens der Blöcke entfällt.
  • Der Metadaten-Overhead ist aufgrund ständiger Aktualisierungen der Zuordnungstabelle höher.
  • Die logische Fragmentierung im Dateisystem des Hosts nimmt im Laufe der Zeit zunehmend zu.
  • Restliche physische Kapazität bleibt für andere Workloads verfügbar.

Die folgende Tabelle fasst die Unterschiede zwischen dem „sparse“- und dem „flat“-Format zusammen:

Verschlüsselung Meldung oder Indikator Auswirkungen auf die Datenrettung
BitLocker „BitLocker wartet auf Aktivierung“ oder „Der Schutz ist ausgesetzt, bis Schlüsselschutzmechanismen erstellt wurden“ Der Volume-Verschlüsselungsschlüssel wird im Klartext auf der Festplatte gespeichert, und auf die Daten kann ohne Schlüssel für die Datenrettung zugegriffen werden
BitLocker 0xc0210000, BitLocker-Schlüssel wurde nicht korrekt geladen Das TPM konnte den Schlüssel beim Systemstart nicht freigeben; das 48-stellige Kennwort für die Datenrettung ist erforderlich
BitLocker 0x80280006 oder 0x80280007, TPM inaktiv oder deaktiviert Automatische Entsperrung nicht verfügbar; Kennwort für die Datenrettung oder alternativer Schlüsselschutz erforderlich
VeraCrypt „Falsches Passwort oder kein VeraCrypt-Volume“ (obwohl das richtige Passwort eingegeben wurde) Eine Beschädigung des Headers ist die wahrscheinliche Ursache, und die Datenrettung hängt vom Backup-Header oder einer externen Header-Backup-Datei ab
FileVault fdesetup validaterecovery gibt „false“ zurück Der Schlüssel für die Datenrettung stimmt nicht mit dem aktuellen Volume überein

Wie interagieren Sparse-Festplatten mit RAID?

Die meisten virtuellen Maschinen im Produktivbetrieb laufen auf RAID-Arrays statt auf einzelnen Laufwerken, und gerade auf diesen Arrays führt die Erweiterung von Sparse-Dateien zu messbaren Leistungseinbußen.

Wenn eine Sparse-Datei wächst, fordert der Hypervisor neue Blöcke vom Host-Dateisystem an, und der RAID-Controller verteilt diese über das Array. Bei einem Paritäts-Array wie RAID 5 oder RAID 6 löst jeder kleine Schreibvorgang in einer Sparse-Datei einen Lese-Änderungs-Schreib-Zyklus aus: Der Stripe wird gelesen, die Parität neu berechnet und das Ergebnis zurückgeschrieben. Sparse-Dateien wachsen in kleinen Schritten, und im Laufe der Zeit summiert sich ein kontinuierlicher Strom von zufälligen Schreibvorgängen an.

Nach längerem produktivem Einsatz verteilt sich eine Sparse-Datei über die RAID-Stripes. Ein einzelner sequenzieller Lesevorgang innerhalb des Gastsystems kann auf Hardwareebene zu Dutzenden von zufälligen Lesevorgängen führen. Speicheradministratoren stimmen in der Regel drei Werte aufeinander ab, um diesen Effekt zu minimieren, nämlich die Clustergröße des Gastsystems, die Blockgröße des Hypervisors und die physische RAID-Stripe-Größe. Wenn diese Parameter nicht aufeinander abgestimmt sind, überschneiden sich Schreibvorgänge und der Overhead summiert sich. Die größten Probleme treten auf, wenn das zugrunde liegende RAID-Array an Leistung verliert.

Wenn das Sparse-Format zu Datenverlusten führt

Dieselben Metadatenstrukturen, die eine dynamische Zuweisung ermöglichen, führen auch zu spezifischen Ausfallmodi.

  • Absturz während des Schreibvorgangs: Eine Sparse-Datei fügt neue Daten an ihr Ende an und aktualisiert die Zuordnungstabellen in einem separaten Schritt. Wenn der Host zwischen diesen beiden Aktionen einen Stromausfall erleidet, bleiben die Daten physisch auf der Festplatte vorhanden, während der Hypervisor keine Zuordnung mehr hat, um darauf zuzugreifen. Dies sind „verwaiste“ Daten, deren Wiederherstellung Maßnahmen auf Sektorebene erfordert. 
  • Header-Beschädigung: Sobald das Grain-Verzeichnis unlesbar wird, kennzeichnet der Hypervisor die gesamte virtuelle Festplatte als ungültig, und die Maschine weigert sich, zu booten.
  • Unterbrochene Snapshot-Kette: Der Mechanismus unterscheidet sich je nach Anbieter – bei VMware handelt es sich um Delta-VMDKs, bei Hyper-V um AVHDX-Differenzdatenträger –, doch für beide gilt dasselbe Prinzip: Jeder Snapshot ist eine „Thin“-Datei, die die seit ihrem übergeordneten Snapshot vorgenommenen Änderungen aufzeichnet. Wird ein Glied in der Kette unterbrochen, verliert alles darunter seine Orientierung.

Ein beeinträchtigtes physisches RAID verschlimmert diese logischen Fehler erheblich. Ein fehlgeschlagener Wiederaufbau einer bereits fragmentierten Sparse-Datei führt zu einer gleichzeitigen Beschädigung physischer Sektoren und zu logischer Fragmentierung. Standardmäßige Dateisystemprüfungen innerhalb des Gastbetriebssystems nützen in solchen Fällen nichts, da die Host-Datei selbst bereits ausgefallen ist.

Wie lassen sich Daten von spärlichen virtuellen Festplatten wiederherstellen?

Eine ausgefallene virtuelle Maschine ist kein Problem, das durch eine routinemäßige Festplattenprüfung behoben werden kann. Die Speichergeometrie ist über den Host hinweg fragmentiert, und die interne Zuordnung des virtuellen Containers muss wiederhergestellt werden, bevor die darin enthaltenen Dateien des Gastbetriebssystems überhaupt untersucht werden können.

Ist der Header der Sparse-Datei beschädigt, muss ein Techniker die Hex-Daten manuell analysieren, um erhaltene Fragmente der Blockzuordnung zu lokalisieren und diese wieder einer kohärenten Geometrie zuzuordnen. Erst dann lassen sich die rohen Benutzerdaten extrahieren.

Ist das zugrunde liegende physische Array ausgefallen, darf ein RAID-Wiederaufbau nicht erzwungen werden. Dies würde den Schaden vervollständigen: Neue Paritätsdaten, die über eine fragmentierte Sparse-Datei geschrieben werden, löschen jegliche restliche logische Zuordnung. Stattdessen sollte jedes Laufwerk zuerst auf Raw-Sektor-Ebene geklont werden, wobei der beschädigte Zustand für die Analyse unberührt bleibt. Dies ist der Ansatz, den Stellar Datenwiederherstellung verfolgt. Das Unternehmen wendet in seinem Forschungs- und Entwicklungslabor entwickelte Reverse-Engineering-Methoden an, um fragmentierte virtuelle Dateisysteme auch dann zu analysieren, wenn die Host-Header fehlen. Physisch beschädigte Laufwerke werden in ISO 27001-zertifizierten Reinräumen der Klasse 100 bearbeitet, sodass die Platten während der Arbeiten am Lesekopf niemals mit der Außenluft in Kontakt kommen.

Fazit: Virtuelle Festplatten-Datenrettung – richtig gemacht

Der Verlust eines kritischen virtuellen Servers zählt zu den anspruchsvollsten Ausfallszenarien im IT-Betrieb. Die Datenrettung ist selten eine Frage der Anwendung eines einzigen Tools oder Verfahrens. Ein gründliches Verständnis dafür, wie spärlich besetzte Dateien Daten zuweisen und verwalten, bildet die Grundlage für einen strukturierten, methodischen Prozess der Datenrettung.

Der frühzeitige Einsatz der richtigen Fachkompetenz entscheidet darüber, in welchem Umfang Daten wiederhergestellt werden können. Voreilige Wiederherstellungsversuche und uninformierte Eingriffe verursachen häufig irreversible Schäden an den Strukturen, von denen die Datenrettung abhängt.

Ihr virtueller Server enthält Daten, deren Verlust sich Ihr Unternehmen nicht leisten kann. Versuchen Sie nicht, den Server selbst wiederherzustellen. Wenden Sie sich zuerst an die Virtualisierungsspezialisten von Stellar Data Recovery. Diese begutachten Ihren beschädigten Datenspeicher und empfehlen die richtige Strategie für die Datenrettung in Ihrer VMDK- oder VHD-Umgebung.

Möchten Sie mehr über Virtualisierung, Speichermanagement und Datenrettung erfahren? Sehen Sie sich diese weiterführenden Leitfäden an, um Ihr Verständnis für Technologien virtueller Maschinen und bewährte Verfahren der Datenrettung zu vertiefen.

Häufig gestellte Fragen

76% der Leute fanden dies Expertendatenbank hilfreich

Über den Autor

  • The Hague Security Delta
  • ISO 9001:2015 Certified
  • MKB Innovative
  • MVO Nederland
Call Me