Recuperación de datos de discos de máquinas virtuales: lo principal

La virtualización aporta una gran flexibilidad a los entornos de TI modernos, pero también puede plantear dificultades adicionales cuando se produce una pérdida de datos. A diferencia de los sistemas de almacenamiento tradicionales, en los que los sistemas de archivos pueden encontrarse directamente en el medio de almacenamiento local, las máquinas virtuales usan estructuras anidadas a menudo compuestas por discos virtuales, capas de instantáneas (del inglés, snapshots) y particiones del sistema invitado dentro de un almacén de datos (del inglés, datastore) a nivel de anfitrión (del inglés, host).

Debido a esta arquitectura multicapa, los métodos de recuperación habituales no siempre pueden aplicarse al sistema de almacenamiento virtual. Además, algunas prácticas de gestión comunes, como iniciar una máquina virtual inestable para identificar un problema o ejecutar una utilidad de comprobación automática del disco sin supervisión, pueden provocar escrituras no deseadas y complicar aún más el proceso de recuperación.

Por lo tanto, para recuperar datos de manera segura en entornos virtualizados, se debe aplicar un enfoque estructurado: identificar la capa en la que se produjo el problema (sistema anfitrión (host), sistema de virtualización o sistema invitado) e inspeccionar la cadena de almacenamiento virtual sin modificar los datos iniciales. Esta guía ofrece una descripción general de las arquitecturas de discos virtuales, los fallos más comunes en ellos y las precauciones a tomar al abordar una pérdida de datos y recuperar archivos de máquinas virtuales.

Fundamentos de la recuperación de datos de máquinas virtuales

Las máquinas virtuales tienen una arquitectura de múltiples niveles. A diferencia de los sistemas no virtualizados, en los que el sistema operativo suele acceder directamente al medio de almacenamiento físico o lógico, las máquinas virtuales cuentan con capas adicionales de abstracción. Un sistema operativo invitado puede encontrarse en un disco virtual representado por un archivo contenedor en un sistema de archivos anfitrión, un volumen lógico o un dispositivo de bloques.

Leer más: por favor, consulte nuestra guía introductoria sobre las máquinas virtuales y las peculiaridades del almacenamiento de datos en discos virtuales.

Para recuperar datos de máquinas virtuales hay que saber cómo están organizadas y, cuando sea necesario, cómo procesar estas capas de abstracción anidadas en el orden correcto:

• Hardware y conectividad (SAS/SATA, NVMe, SAN): se trata de los dispositivos de almacenamiento físicos y los medios de conexión que proporcionan acceso al espacio de almacenamiento no procesado (del inglés, raw). En este nivel pueden producirse fallos y daños en el hardware, una acumulación de sectores defectuosos o problemas de conexión que suelen requerir una intervención profesional o la creación de una imagen de disco antes de proceder a la recuperación mediante software.

  Leer más: por favor, consulte las instrucciones paso a paso sobre cómo crear una imagen de disco.

• Grupos de almacenamiento (RAID por hardware o software, grupos de ZFS, Storage Spaces de Windows, plataformas HCI como Ceph o vSAN de VMware): la capa intermedia que une múltiples unidades físicas convirtiéndolas en un espacio de almacenamiento lógico unificado mediante técnicas de distribución de datos (del inglés, striping), duplicación (del inglés, mirroring) y cálculo de paridad (del inglés, parity). Cuando esta capa se degrada o falla, es posible que la matriz o el grupo de almacenamiento deba reensamblarse virtualmente antes de poder acceder a su espacio de almacenamiento.

  Leer más: por favor, consulte nuestra guía dedicada a la recuperación de datos de RAID si necesita más información sobre los tipos de RAID más comunes, los escenarios de pérdida de datos de las matrices y los métodos de recuperación aplicables.

• Sistema de archivos o almacén de datos a nivel de anfitrión (VMFS-5/6, CSVFS, ReFS, NFS, GlusterFS): la capa de almacenamiento a nivel de host utilizada para almacenar y gestionar archivos de discos virtuales u otros recursos de almacenamiento virtual.

  Leer más: por favor, consulte nuestro artículo sobre los sistemas de archivos en clúster, su arquitectura y sus implementaciones más comunes.

• Contenedor de disco virtual (VMDK, VHD/VHDX, QCOW2, VDI): la representación del disco virtual que proporciona al sistema invitado un espacio de direcciones de bloques lógicos y que puede contener metadatos específicos del formato que describen los bloques asignados, la geometría virtual y la capacidad.

• Capa de archivos de diferencias o instantáneas (SESparse, AVHD/AVHDX, cadenas de respaldo de QCOW2): las capas dispersas (del inglés, sparse) con la redirección al escribir (del inglés, redirect-on-write) que almacenan los cambios respecto al disco virtual principal (padre) y dependen de los metadatos de la relación padre-hijo propios del formato para reconstruir el estado completo del disco virtual.

• Esquema de particiones y gestor de volúmenes del sistema invitado (GPT/MBR, LVM de Linux, LDM de Windows): la estructura interna de la máquina virtual que define los límites de las particiones, los volúmenes lógicos, los volúmenes dinámicos o las configuraciones de RAID por software.

• Sistema de archivos del sistema invitado (NTFS, ReFS, Ext4, XFS, Btrfs, APFS): la capa lógica que organiza los archivos de usuario, los directorios, los metadatos, los diarios (del inglés, journals) y las estructuras de asignación.

Sin embargo, algunas de estas capas, como la capa de RAID, las cadenas de instantáneas o los gestores de volúmenes a nivel del sistema operativo invitado, son opcionales y es posible que no estén presentes en todos los entornos.

Dado que las máquinas virtuales cuentan con múltiples capas anidadas, intentar acceder a ellas de manera habitual mediante el hipervisor o directamente desde el sistema operativo invitado puede provocar la modificación de los metadatos u otras estructuras necesarias para recuperar datos perdidos. Para evitar que los procesos automatizados en segundo plano modifiquen estas estructuras, la recuperación de datos de discos de máquinas virtuales debe realizarse de manera no invasiva:

• El ensamblaje virtual debe realizarse estrictamente en modo de sólo lectura: la recuperación no debe realizarse al iniciar la máquina virtual ni ejecutar las utilidades de reparación a nivel del sistema operativo invitado (como chkdsk o fsck) en el disco virtual de origen, ya que estas operaciones pueden modificar los metadatos del sistema de archivos y dificultar la recuperación posterior. En su lugar, hay que acceder al disco virtual y a sus estructuras en modo de sólo lectura, restaurar las capas pertinentes del disco virtual y de las instantáneas (del inglés, snapshots) sin modificar los datos de origen y, finalmente, recuperar y copiar archivos.

Contenedores de discos virtuales y asignación de datos

Los hipervisores encapsulan el espacio de almacenamiento del sistema invitado en archivos de disco virtual especializados u otros formatos de almacenamiento virtual. Cada formato utiliza sus propias estructuras de metadatos para asignar bloques de disco virtual a ubicaciones en el medio de almacenamiento anfitrión:

• VMware Workstation y ESXi (VMDK): en los entornos de VMware se utilizan varias variantes de VMDK, a saber, los formatos plano (del inglés, flat) y disperso (del inglés, sparse). En los almacenes de datos (del inglés, datastores) de ESXi, un disco virtual puede constar de un pequeño archivo descriptor (.vmdk) que contiene metadatos del disco y de las extensiones (del inglés, extents), junto con una extensión plana (-flat.vmdk) que contiene los datos del disco virtual. Los formatos dispersos, incluidos VMDK y ESXi SESparse, asignan el espacio de almacenamiento de manera dinámica en unidades de asignación conocidas como "granularidad" (del inglés, grains). Si falta un descriptor, a veces es posible reconstruir su información a partir de la extensión correspondiente y otros metadatos. Sin embargo, en caso de daños en la granularidad o en la tabla de asignación, puede ser necesario reconstruir la asignación de bloques virtuales antes de poder acceder al sistema de archivos del sistema invitado. Los VMDK de múltiples extensiones también pueden dividir un disco virtual en varios archivos de extensión; la pérdida o la corrupción de una extensión puede provocar la inaccesibilidad de las partes correspondientes del disco virtual.

• Hyper-V de Microsoft (VHD y VHDX): los archivos VHD heredados utilizan una estructura de disco dinámica basada en una tabla de asignación de bloques y son compatibles con discos virtuales de hasta 2 TB. El formato VHDX es compatible con discos virtuales de hasta 64 TB y emplea un mecanismo de registro en diario (del inglés, journaling) de metadatos para mejorar la resiliencia frente a escrituras interrumpidas y fallos del host. Si los metadatos presentan inconsistencias tras un apagado incorrecto, es posible que el disco virtual requiera un análisis estructural adicional o una reconstrucción antes de poder acceder a su contenido de forma segura.

• QEMU, KVM y Proxmox VE (QCOW2): QCOW2 utiliza tablas de asignación multinivel para asignar bloques de disco del sistema invitado a clústeres dentro del archivo contenedor y ofrece funciones adicionales como la asignación dinámica, las instantáneas (del inglés, snapshots), la compresión y el cifrado opcional. Dado que los bloques lógicos del sistema invitado pueden distribuirse de forma no secuencial dentro del contenedor, contar con los metadatos de asignación intactos es esencial para reconstruir el disco virtual. Por consiguiente, los daños en las tablas de asignación pueden impedir la obtención directa de los datos del sistema invitado desde el archivo contenedor.

• VirtualBox de Oracle (VDI): los contenedores de Virtual Disk Image de VirtualBox utilizan una tabla interna de asignación de bloques para asignar bloques de disco lógicos a ubicaciones dentro del contenedor. Las imágenes VDI dinámicas asignan el espacio de almacenamiento del host a medida que se escriben bloques del sistema invitado; por lo tanto, el éxito de la recuperación depende de la integridad de los metadatos de asignación de bloques y de los bloques de datos correspondientes.

• Modos de asignación de datos (aprovisionamiento grueso y fino):

  • Aprovisionamiento grueso (preasignación): se reserva toda la capacidad del disco virtual de antemano. Dependiendo del formato del disco virtual y del sistema de archivos del host, los datos pueden almacenarse de manera contigua o estar fragmentados. En consecuencia, la preasignación por sí misma no garantiza una disposición predecible de los sectores físicos.

  • Aprovisionamiento fino (dinámico): el espacio de almacenamiento del host se asigna a medida que se escriben datos, manteniendo la correspondencia entre lo virtual y lo físico mediante las estructuras de asignación propias del formato. Si estas estructuras se dañan o se pierden, es posible que sea necesario reconstruir la asignación de bloques virtuales para poder acceder a las particiones y los sistemas de archivos del sistema invitado.

• Cifrado: los datos de una máquina virtual pueden cifrarse en diferentes niveles, ya sea dentro del sistema operativo invitado, a nivel del disco virtual o del almacén de datos, o mediante la plataforma de almacenamiento subyacente. El método de cifrado y el nivel al que se aplica determinan qué credenciales o claves deben utilizarse para acceder a los datos durante la recuperación.

  Leer más: descubra cómo el cifrado afecta el proceso de recuperación al consultar nuestra guía completa sobre la recuperación de datos de medios de almacenamiento cifrados.

• Geometría de sectores lógicos y físicos (512n, 512e y 4Kn): los discos virtuales pueden presentar un tamaño de sector lógico de 512 bytes o 4 KB al sistema invitado, independientemente del formato de sector físico del medio de almacenamiento subyacente. La relación entre el tamaño del sector lógico del disco virtual, el medio de almacenamiento del host y la disposición de las particiones del sistema invitado debe preservarse al reconstruir o montar el disco virtual. Una mala interpretación del tamaño del sector puede conducir a cálculos incorrectos de la conversión de LBA a bytes y hacer que las tablas de particiones, los registros de arranque del volumen y las estructuras del sistema de archivos que de otro modo serían válidos parezcan inválidos o inaccesibles.

Arquitectura de instantáneas y cadenas de archivos delta

Las instantáneas (del inglés, snapshots) de máquinas virtuales son una forma de capturar y guardar temporalmente las diferencias, no copias de seguridad completas. Las cadenas de instantáneas dañadas, mal configuradas o desvinculadas pueden dificultar el acceso al estado actual del disco virtual y provocar la pérdida de datos en entornos virtualizados.

• Redirección de escrituras y jerarquía de cadenas: al crear una instantánea, el hipervisor captura el estado actual del disco virtual principal (o "padre") y redirige las operaciones de escritura subsiguientes a un nuevo archivo delta disperso (como *-000001.vmdk o .avhdx). Es posible añadir más instantáneas a la cadena; cada nuevo archivo delta almacena los cambios aplicados a su predecesor, mientras que los datos nuevos se escriben en el más reciente.

• Validación del vínculo "padre-hijo" (principal-secundario): las instantáneas utilizan metadatos especiales para asociar cada archivo delta a su elemento principal. Si esta relación se vuelve inconsistente, por ejemplo, tras una consolidación interrumpida o una modificación independiente del disco principal, es posible que el hipervisor ya no pueda abrir ni arrancar correctamente la cadena del disco virtual. Por lo tanto, para realizar la recuperación, primero hay que restaurar las relaciones padre-hijo y asegurarse de que se utilicen las instantáneas correctas.

• Reconstrucción del estado actual del disco virtual: para realizar una recuperación de datos exitosa, es necesario reconstruir el disco virtual aplicando cada archivo delta a su predecesor en el orden correcto, generalmente desde el disco principal hasta el archivo delta más reciente. Recuperar únicamente el disco virtual principal sólo permite acceder a los datos presentes en él que no reflejan los cambios posteriores almacenados en las instantáneas subsiguientes, tales como actualizaciones del sistema de archivos, modificaciones en bases de datos y datos de usuario recientemente escritos.

Fallos en máquinas virtuales: físicos, lógicos, del host y del contenedor

Los fallos en las máquinas virtuales pueden producirse en diferentes niveles de su estructura compleja. Identificar el nivel afectado es fundamental para elegir el método de recuperación adecuado:

• Daños físicos: se trata de fallos como discos duros o SSD rotos o inestables, sectores defectuosos, problemas del controlador o de la conexión a nivel de dispositivo. Estos casos pueden requerir una intervención a nivel de hardware o la creación de una imagen de disco antes de proceder a la recuperación lógica de datos.

• Fallos en la infraestructura del host y del medio de almacenamiento: se trata de problemas en la ruta de acceso al almacenamiento o en el medio de almacenamiento del host, no en el propio disco virtual. Pueden ser problemas de conexión a SAN/NAS, interrupciones en la red de almacenamiento, grupos de almacenamiento inaccesibles o metadatos dañados del almacén de datos (como estructuras de VMFS o CSVFS). En estos casos, los archivos del disco virtual pueden estar intactos, pero el hipervisor ya no puede acceder al almacén de datos que los contiene.

• Corrupción del disco virtual y de las instantáneas (snapshots): se trata de daños en las estructuras del disco virtual o de las instantáneas. Pueden ser cabeceras de contenedor corruptas, metadatos de asignación dañados, relaciones padre-hijo rotas y una consolidación de instantáneas interrumpida debido a un corte de energía repentino o a la falta de espacio de almacenamiento libre. Cuando los metadatos esenciales del contenedor son incoherentes o están dañados, es posible que el hipervisor no pueda inicializar o conectarse correctamente al disco virtual.

• Daños lógicos en el sistema invitado: se trata de corrupción o pérdida de datos en el propio disco virtual. El contenedor del disco virtual y su jerarquía de instantáneas pueden permanecer intactos, pero el medio de almacenamiento del sistema invitado sufre problemas como la eliminación accidental de archivos, la corrupción de metadatos del sistema de archivos (como estructuras de directorios o mapas de bits de asignación), el fallo de arranque del sistema operativo o el cifrado por ransomware.

• Eliminación del contenedor y reutilización del espacio de almacenamiento: se trata de situaciones en las que los archivos .vmdk, .vhdx o .qcow2 se eliminan accidentalmente directamente del almacén de datos (datastore). En los sistemas de almacenamiento basados en memoria flash o con aprovisionamiento fino, los mecanismos de liberación del espacio, como TRIM o UNMAP, pueden notificar al medio de almacenamiento que los bloques liberados ya no se necesitan. El reuso del espacio o la recolección de basura (del inglés, garbage collection) posteriores pueden hacer inaccesible el contenido anterior, por lo que queda críticamente poco tiempo para recuperar los archivos del contenedor eliminados.

  Leer más: si le interesa cómo elegir el software adecuado para diferentes casos de pérdida lógica de datos, por favor, consulte nuestro artículo sobre cómo elegir un programa de recuperación de datos.

Utilizar un programa o contratar un laboratorio de recuperación

Al decidirse entre la recuperación de datos con un programa especializado y la contratación de un laboratorio de recuperación profesional de datos, hay que tener en cuenta el estado físico del medio de almacenamiento y la naturaleza del fallo lógico. El software especializado puede restaurar estructuras complejas de discos virtuales, sus cadenas de instantáneas (del inglés, snapshots) interrumpidas y almacenes de datos (del inglés, datastores) dañados, pero siempre que el medio de almacenamiento físico esté intacto y funcione de manera estable.

Cuándo es posible restaurar datos con un programa de recuperación:

• El medio de almacenamiento físico está intacto: los discos duros, SSD, matrices RAID y controladores de almacenamiento funcionan con normalidad y no presentan problemas de conexión ni errores de lectura repetidos.

• El fallo se produce en el disco virtual y es de naturaleza lógica: el software puede recuperar datos en caso de problemas como archivos descriptores faltantes, cadenas de instantáneas rotas, consolidación de instantáneas interrumpida o cuando el sistema operativo invitado no arranca, siempre que los datos del disco virtual en cuestión sigan siendo accesibles.

• El medio de almacenamiento del sistema invitado presenta una pérdida o corrupción lógica de datos: se han eliminado archivos accidentalmente, se han formateado particiones o se han dañado estructuras del sistema de archivos dentro de la máquina virtual, mientras que el medio de almacenamiento funciona de manera estable y se lee sin problemas.

• El almacén de datos está inaccesible debido a problemas lógicos: un almacén de datos del hipervisor (como VMFS o CSVFS) está inaccesible tras un fallo del host, un reinicio abrupto o debido a un problema de conexión, pero el medio de almacenamiento está físicamente intacto y puede leerse o clonarse sin errores de hardware.

Cuándo se recomienda optar por los servicios de recuperación profesional de datos:

• El número de unidades fallidas supera la tolerancia a fallos: varias unidades que forman parte del grupo de almacenamiento o de la matriz RAID han sufrido daños físicos, lo que excede la tolerancia a fallos de la configuración.

• El medio de almacenamiento está gravemente degradado: las unidades que almacenan los datos de la máquina virtual presentan errores de lectura persistentes, se congelan repetidamente, operan de manera inestable o muestran otros signos de mal funcionamiento, por lo que el acceso directo mediante el software a ellas puede considerarse inseguro.

• Daños físicos graves en el medio de almacenamiento: los servidores, las matrices o las unidades se han visto afectados por daños eléctricos, incendios, humo, agua, etc. Estos casos pueden requerir una evaluación de la gravedad del daño a nivel de hardware y, cuando se trata de discos duros (HDD), una intervención en una sala blanca, antes de proceder a la creación segura de una imagen de disco sector por sector.

Extracción de discos y reconstrucción de cadenas de instantáneas

Cuando un hipervisor no puede montar un almacén de datos (del inglés, datastore) ni conectarse a un disco virtual, es posible que para recuperar datos se deba acceder al medio de almacenamiento afectado fuera del hipervisor. El software de recuperación especializado puede analizar las estructuras correspondientes, encontrar los contenedores de discos virtuales y ayudar a reconstruir las relaciones dañadas entre las instantáneas (del inglés, snapshots):

• Análisis directo del almacén de datos: si el sistema de archivos o el almacén de datos del host está inaccesible, el software de recuperación de datos puede acceder a la LUN, la matriz RAID o el dispositivo de almacenamiento físico independientemente del hipervisor. Al analizar los metadatos internos del almacén de datos, el programa puede encontrar y copiar los archivos del disco virtual a un medio de almacenamiento de destino independiente.

• Reconstrucción de descriptores de disco dañados: cuando se pierde o se daña un archivo descriptor basado en texto (como un descriptor VMDK), puede que la extensión (del inglés, extent) correspondiente del disco virtual ya no se reconozca correctamente. Si se dispone de información suficiente, es posible reconstruir un descriptor compatible utilizando propiedades como la capacidad del disco virtual, la disposición de extensiones y otros metadatos específicos.

• Eliminación de discrepancias en cadenas: las cadenas de instantáneas pueden volverse inconsistentes cuando se alteran las relaciones padre-hijo o se dañan los metadatos, por ejemplo, tras una consolidación interrumpida o un apagado incorrecto. El software especializado de recuperación de datos puede analizar estas relaciones y reconstruir la cadena correcta en modo virtual sin modificar los archivos subyacentes del disco virtual.

• Fusión virtual en memoria: en lugar de realizar una consolidación de instantáneas en el medio de almacenamiento de origen, el software de recuperación puede reconstruir virtualmente la cadena de instantáneas. El disco principal y los archivos delta aplicables se presentan como un disco virtual unificado en modo de sólo lectura y con las solicitudes de sectores resueltas a través de la jerarquía de instantáneas, desde la instantánea aplicable más reciente hacia el disco principal. Luego este almacenamiento virtualmente reconstruido puede analizarse y utilizarse para obtener datos del sistema de archivos de la máquina virtual.

Leer más: por favor, consulte nuestro artículo sobre cómo abrir un disco virtual en UFS Explorer.

Precauciones al recuperar datos de máquinas virtuales

Dado que las máquinas virtuales encapsulan múltiples capas de almacenamiento anidadas, las tareas de mantenimiento estándar y las operaciones de gestión automatizadas pueden alterar o sobrescribir estructuras de metadatos importantes. Cumplir con las recomendaciones a continuación ayuda a proteger los datos de origen en los discos virtuales y los volúmenes de almacenamiento de datos durante todo el proceso de recuperación:

• No inicie la máquina virtual y no revierta a una instantánea ni consolide instantáneas (snapshots) en ella: si una máquina virtual no arranca o informa de daños en el volumen, no utilice herramientas de gestión del hipervisor para consolidar, eliminar o restaurar instantáneas en el medio de almacenamiento de origen. Dichas operaciones pueden modificar los metadatos de las instantáneas o escribir cambios en la cadena de instantáneas, lo que puede complicar la recuperación posterior.

• No utilice herramientas de reparación del sistema de archivos en el sistema invitado: evite ejecutar utilidades de reparación del sistema de archivos, como chkdsk o fsck, directamente en el disco virtual si no se ha verificado su integridad. Estas utilidades pueden modificar los metadatos del sistema de archivos y las estructuras de asignación, sobrescribiendo la información necesaria para la recuperación.

• Asegure el acceso de sólo lectura a los almacenes de datos y las LUN del host: al conectarse a matrices de discos, LUNs de SAN o volúmenes compartidos del host desde la máquina utilizada para recuperar datos, configure el acceso de sólo lectura siempre que sea posible. Impida que el sistema operativo monte o modifique automáticamente volúmenes no reconocidos, ya que incluso escrituras accidentales pueden afectar los archivos eliminados y los metadatos necesarios para recuperarlos.

• Deje de utilizar el medio de almacenamiento si está físicamente dañado: si las unidades o el hardware del medio de almacenamiento presentan signos de daños físicos, por ejemplo, emiten ruidos inusuales, se desconectan repetidamente, informan de errores de lectura o se detectan con una capacidad incorrecta, evite intentar acceder al almacenamiento o ensamblarlo de nuevo. En caso de daños físicos, se recomienda contratar a un especialista en reparación de dispositivos.

• Asegúrese de que cuente con suficiente espacio de almacenamiento libre: la recuperación de datos de discos virtuales puede implicar la extracción de archivos contenedores de gran tamaño, el ensamblaje de cadenas de instantáneas de varios terabytes o la creación de imágenes de disco. Por eso, asegúrese de que disponga de suficiente espacio de almacenamiento libre en un medio independiente para los datos temporales, los discos virtuales reconstruidos y los archivos recuperados, además de espacio adicional para realizar operaciones intermedias.

• Guarde los datos recuperados en un dispositivo de almacenamiento de destino independiente: no copie las imágenes del disco virtual, los contenedores convertidos ni los archivos obtenidos del sistema invitado al medio de almacenamiento de origen. Guarde ellos en un dispositivo o volumen de almacenamiento separado para evitar sobrescribir datos que aún pueden recuperarse.

Leer más: para obtener instrucciones paso a paso, consulte nuestra guía práctica sobre la recuperación de datos de máquinas virtuales.

Última actualización: el 28 de septiembre de 2026

Si le gusta este artículo, compártalo en sus redes sociales: