Comment récupérer des fichiers supprimés d’un disque de machine virtuelle VMDK ou QCOW2

Étape par étape

1. Arrêtez la machine virtuelle

   Éteignez proprement l’invité ou coupez son alimentation ; ne le mettez pas en veille pour continuer à travailler. Un invité en marche écrit des journaux, des mises à jour et des données d’échange dans le disque virtuel, et chacune de ces écritures peut tomber sur l’emplacement des fichiers supprimés.

2. Copiez le dossier de la VM

   Copiez le dossier qui contient le disque virtuel sur un autre lecteur physique. Chez VMware, il s’agit du petit descripteur .vmdk et de ses fichiers d’extent comme nom-flat.vmdk ou nom-s001.vmdk ; avec QEMU ou KVM, c’est en général un seul fichier .qcow2. Travaillez sur la copie et laissez l’original intact.

3. Gardez les extents près du descripteur

   Le descripteur VMDK est un court fichier texte qui cite ses fichiers d’extent par leur nom. Ils doivent se trouver dans le même dossier, sous leur nom d’origine, sinon le disque ne peut pas être reconstitué. Si vous l’avez téléchargé depuis une banque de données, vérifiez que le descripteur et le gros fichier de données sont bien arrivés.

4. Ouvrez le disque virtuel

   Dans FileFix Ultimate, ouvrez Récupération de fichiers supprimés, choisissez Fichier image disque et cliquez sur Ouvrir un fichier image. Sélectionnez le descripteur .vmdk ou le fichier .qcow2. Le disque s’ouvre en lecture seule et ses partitions s’affichent comme celles d’un disque physique.

5. Analysez la partition invitée

   Choisissez la partition qui contenait les fichiers, en général le grand volume NTFS d’un invité Windows ou le volume ext4 racine ou home sous Linux, puis lancez l’Analyse équilibrée. Si aucun système de fichiers n’est reconnu, l’Analyse approfondie par signatures recherche encore les types de fichiers connus.

6. Enregistrez sur l’hôte

   Prévisualisez les résultats, sélectionnez ce dont vous avez besoin et enregistrez-le dans un dossier de l’hôte ou sur un autre disque. Consultez les étiquettes d’état : les fichiers validés ont passé un contrôle de format indépendant.

Quels formats de disque virtuel s’ouvrent et ce qui les distingue

Les disques VMware existent sous plusieurs formes. Un VMDK sparse monolithique grandit à mesure que l’invité écrit. Un VMDK streamOptimized est une variante compressée qu’on trouve souvent dans les exports OVA et OVF. Un VMDK flat est un fichier brut préalloué, décrit par un petit descripteur séparé. FileFix Ultimate lit les trois, ainsi que les QCOW2 version 2 et 3 de QEMU, KVM et Proxmox, les VHD et VHDX de Hyper-V et les fichiers .img bruts.

Dans les disques sparse et QCOW2, les zones que l’invité n’a jamais écrites ne sont pas stockées dans le fichier. Cela les garde compacts, mais un bloc libéré par l’invité puis récupéré par l’hôte peut tout simplement ne plus exister.

Instantanés, disques fins et TRIM dans l’invité

Lorsqu’une VM possède des instantanés, les modifications récentes vivent dans des fichiers delta à côté du disque de base. Ouvrir seulement le fichier de base montre l’invité tel qu’il était au moment de l’instantané, ce qui peut aider si les fichiers ont été supprimés après. Pour l’état le plus récent, le plus simple est généralement de consolider d’abord une copie de la VM dans l’hyperviseur, puis d’ouvrir le résultat.

Les invités récents peuvent envoyer des commandes TRIM ou unmap pour l’espace supprimé, et certains hyperviseurs réduisent alors les disques fins ou sparse. Dans ce cas, les blocs supprimés peuvent avoir disparu du fichier, comme sur un SSD. La récupération marche en général mieux sur des disques épais ou flat et sur des invités dont la récupération d’espace est désactivée.

Erreurs fréquentes

Démarrer la VM pour y installer un logiciel de récupération écrit sur le disque même que vous voulez récupérer. Lancer une commande de réparation ou de compactage de l’hyperviseur sur le disque d’origine peut abandonner l’espace libre. Ouvrir le descripteur après avoir renommé ses fichiers d’extent rompt le lien entre eux ; ne renommez rien et conservez la structure des dossiers.

Quand cela ne fonctionne pas

• Les machines virtuelles chiffrées sont illisibles sans le déchiffrement de l’hyperviseur ; BitLocker dans l’invité exige sa clé de récupération.
• Les invités utilisant des systèmes de fichiers non pris en charge, comme ReFS, Btrfs ou ZFS, ne peuvent être explorés que par signature, sans noms ni dossiers.
• Si un fichier d’extent manque ou a été renommé et qu’une partie du disque est absente, les fichiers de cette partie ne peuvent pas être récupérés.
• L’espace que l’invité a libéré par TRIM et que l’hôte a récupéré sur un disque fin ou sparse ne contient généralement plus les anciennes données.
• Les VMDK de snapshot (enfants) qui ont besoin de leur disque parent, les disques seSparse et vmfsSparse et les mappages de périphériques bruts ne peuvent pas être ouverts. Utilisez le disque de base ou consolidez d'abord les snapshots dans votre hyperviseur.

Comment FileFix Ultimate vous aide

• Ouvre en lecture seule les VMDK (sparse, streamOptimized et flat), QCOW2 v2 et v3, VHD, VHDX, E01 et images brutes.
• Liste les partitions du disque virtuel et lit les invités NTFS, FAT32, exFAT et ext2, ext3, ext4 pour retrouver noms et dossiers.
• Passe à la recherche par signatures de 68 types de fichiers si le système de fichiers invité n’est pas reconnu.
• Peut assembler plusieurs images disque, y compris des VMDK, en RAID virtuel 0, 1, 5 ou JBOD.

Questions fréquentes