恢复 · XB 现场笔记

ZFS 快照给文件系统一个回退键

Tue, 21 Mar 2028 00:00:00 +0000

ZFS 快照通过写时复制引用保留某一时点的数据集视图，不需要把全部数据另复制一遍。只要还有引用需要旧块，它们就继续保留。但创建仍涉及元数据与同步工作，不能承诺零分配，也不能把在提示符重画之前返回当作实测保证。本次没有运行 ZFS，保留文件中也未找到原文所称实验的原始输出，所以数值与运行效果必须单独限定来源。

这样的历史适合本地恢复，但 tank/data 的快照仍位于同一个池。让池不可用的故障，也可能让全部快照不可用。这描述的是共享故障边界，不是断言每次控制器故障都会原子地毁掉所有块。独立备份或复制还需要自己的保留策略及恢复验证，不能仅因另一处存在相同名字，就宣布已经获得完整灾难恢复能力。

为一个一致的树命名

快照原子地捕获数据集的文件系统状态；递归 -r 会让后代数据集在同一时刻建立快照。不递归时，子数据集被遗漏，并不是自动晚一点另拍一份。文件系统一致不等于应用检查点：数据库缓冲、日志以及选定数据集之外的文件，仍需遵循应用支持的备份或崩溃恢复流程。必须协调所有必要部分，才能把整组状态作为可恢复对象。

tank/data@daily-2026-09-16 这样的名字可以辅助保留策略，还应结合创建时间、属性与备份记录；名字本身不是删除资格的证明。zfs list -t snapshot -o name,used,refer,creation -s creation 用于观察快照及空间统计，真正清理之前还要检查依赖和 hold。自动命名也可以被可靠管理，关键是保留规则有明确、可追溯的依据。

空间在哪里：zfs list -o space

zfs list -o space tank/data 选择 NAME、AVAIL、USED、USEDSNAP、USEDDS、USEDREFRESERV 与 USEDCHILD，不包含 REFER。USED 分解为四项 used-by 类别，不能写成 REFER 加 USEDSNAP。REFER 表示数据集可访问的数据，其中也可能有共享块。单份快照的 USED 统计其独有引用，删除其他快照还会改变这个值，所以逐份相加不等于整体可回收空间。

原文三十份快照、六十四 MiB 数据集以及每日两 MiB 变化的数字，没有找回对应 ZFS 运行轨迹。六十 MiB 与一千九百二十 MiB 的对比只能当作示意算术，不能作为真实分配结论。元数据、压缩、块尺寸、共享关系及确切保留时间线都会影响成本。新快照独占很少，并不代表整组历史没有阻止大量空间回收。

hold、diff 与版本对比

用户 hold 会阻止销毁，直到明确释放。zfs hold keep tank/data@daily-2026-09-16 设置一个标签；zfs holds tank/data@daily-2026-09-16 检查它，zfs release keep tank/data@daily-2026-09-16 释放该标签。hold 可保护传输中的快照，但克隆源依赖是另一种关系，不一定显示成具名 hold 标签。释放前要弄清依赖的任务，而不是看到忙就盲目取消保护。

zfs diff tank/data@daily-2026-09-15 tank/data@daily-2026-09-16 比较仍保留的两个版本，报告新建、删除、修改与重命名路径。文件系统快照会按需挂载到 .zfs/snapshot/<name> 之下，snapdir=visible 让目录出现在列表里。读取旧文件与破坏性回滚整个数据集是不同恢复选择，两者本身都没有证明应用业务状态正确。

坏掉的样子

成功发送并接收到独立保护的存储，才可能在源池丢失后保留数据。所示增量传输要求目标已存在，而且最近快照匹配发送基线；只有增量流不构成完整独立备份。同机第二个池仍可能共用电源、控制器或管理员权限，因此不能只数池的个数判断隔离。必须核对接收内容并演练可用还原，才能说明它抵御了哪些故障。

USEDSNAP 上升应触发容量与保留检查，但池占用超过百分之八十不是统一的写失败阈值，还要观察配额、预留及实际可用空间。克隆依赖源快照，删除源或回滚越过较新依赖时需要有意识地处理关系。回滚会丢弃较新数据，而销毁克隆并非唯一恢复策略。可以选择恢复文件或另建恢复数据集，不应把破坏性递归操作当作自动下一步。

ZFS 历史存在依赖：机制图。

快速验证

以下独立运行的 Bash 配方尚未执行。它要求独占控制的一次性数据集、已存在的源快照，以及此前已从基线完整接收的目标。目标自基线以来必须未被修改，并挂载在绑定路径；路径中不能有中间挂载或符号链接，所用 hold 标签必须尚未占用。创建目标时点的源快照前，先在源数据集中准备普通文件 probe.txt，并把可信的外部预期副本放到 expected 路径。列表递归检查快照，但传输只覆盖 tank/data 本身，不包含后代数据集；不能把递归列出误当成递归复制。

(
 set -euo pipefail
 src='tank/data'
 dst='backup/data'
 base='daily-2026-09-15'
 next='daily-2026-09-16'
 tag='example-transfer'
 mount='/mnt/zfs-lab/received'
 expected='/mnt/zfs-lab/expected-v2.txt'

 zfs list -r -t snapshot -o name,used,refer,creation -s creation "$src" "$dst"
 zfs list -o name,avail,used,usedsnap,usedds,usedrefreserv,usedchild,refer "$src"
 zfs holds "$src@$base" "$src@$next"
 zfs diff "$src@$base" "$src@$next"

 latest=$(zfs list -H -r -t snapshot -o name -s createtxg "$dst" |
 awk -F@ -v dataset="$dst" '$1 == dataset { last=$0 } END { print last }')
 test "$latest" = "$dst@$base"
 source_guid=$(zfs get -Hp -o value guid "$src@$base")
 target_guid=$(zfs get -Hp -o value guid "$dst@$base")
 test -n "$source_guid"
 test "$source_guid" = "$target_guid"
 target_mount=$(zfs get -H -o value mountpoint "$dst")
 target_mounted=$(zfs get -H -o value mounted "$dst")
 test "$target_mount" = "$mount"
 test "$target_mounted" = yes
 test -f "$expected"
 test ! -L "$expected"

 zfs hold "$tag" "$src@$base" "$src@$next"
 zfs send -i "$src@$base" "$src@$next" | zfs receive "$dst"
 source_guid=$(zfs get -Hp -o value guid "$src@$next")
 target_guid=$(zfs get -Hp -o value guid "$dst@$next")
 test -n "$source_guid"
 test "$source_guid" = "$target_guid"
 test -f "$mount/.zfs/snapshot/$next/probe.txt"
 test ! -L "$mount/.zfs/snapshot/$next/probe.txt"
 cmp -- "$expected" "$mount/.zfs/snapshot/$next/probe.txt"
)

目标最近快照及基线 GUID 必须匹配，仅有相同名字不够。断言失败会停止子 shell，pipefail 会暴露管道任一端的失败。接收后 GUID 和测试文件字节一致，仍不能证明完整应用可还原：必须另行核对完整清单、元数据与应用恢复。无论成功或失败，已创建的 hold 都保留；完成验证与依赖检查后，仅用 zfs release example-transfer tank/data@daily-2026-09-15 tank/data@daily-2026-09-16 释放本实验标签。示例不包含强制回滚或自动清理，存储运行与完整恢复验证仍暂缓。

来源

zfs-snapshot(8)，快照创建语义与递归快照，已核验 2026-09-16。
zfs-list(8)，space 列集与独立的 REFER 属性，已核验 2026-09-16。
zfs-hold(8)，hold、zfs holds 以及销毁返回的 EBUSY，已核验 2026-09-16。
zfs-send(8)，增量发送流及其基线快照要求，已核验 2026-09-16。
zfsprops(7)，used-by 分解、共享引用、配额与预留，已核验 2026-10-18。
zfs-clone(8)，克隆对源快照的依赖，已核验 2026-10-18。
zfs-rollback(8)，较新数据丢弃及依赖克隆处理，已核验 2026-10-18。
zfs-receive(8)，增量接收要求匹配目标基线，已核验 2026-10-18。
PostgreSQL filesystem backup，一致快照范围、WAL 与多卷恢复要求，已核验 2026-10-18。
ZFS concepts，克隆对源快照的依赖与共享存储边界，已核验 2026-10-18。
zfs-get(8)，用于 GUID 与挂载点检查的精确属性读取，已核验 2026-10-19。

没验证的备份只是空想

Wed, 02 Jun 2027 00:00:00 +0000

备份任务完成，证明备份过程生成了一份材料；恢复演练则要证明这份材料、现有工具以及必要环境，能共同恢复出可用系统。这是不同的结论。恢复证据应明确使用了哪份备份、恢复到什么状态、补齐了哪些依赖，以及花了多久才让结果对应用真正有用。不能只保留一个任务成功时间，就省略后面的验证。

坏掉的样子

合法的数据库归档仍然可能依赖范围之外的对象。PostgreSQL 的单库导出工具只导出一个数据库，角色却属于整个集群。在独立集群里恢复带授权信息的备份时，可能因为被引用的角色不存在而失败。如果演练始终在原集群进行，这种缺少恢复材料的问题就会被环境中已有的角色掩盖。

恢复错误也需要明确处理。恢复工具默认可以在 SQL 出错后继续，并在末尾报告错误数量。部分表能够查询，不代表半恢复状态就可以接受。这个小型夹具选择把恢复放进一个事务，使成功具有原子性；发生预期失败时，也不会留下已经恢复了一半的表，便于确认依赖修正之后重新执行的结果。

恢复位置正确是另一项要求。完全恢复成功的备份，也可能按设计不包含它之后发生的变更。校验和证明材料与记录一致，不证明其中包含最新业务事件。同样，总行数相同，并不能排除金额、关联关系或权限错误。验证项需要表达应用语义，不能因为容易查询就只检查几个不能区分正确与错误状态的数字。

摘要不能补齐缺失的集群角色。将同一归档恢复到新目标后，还要核对业务状态、约束与实际权限；本轮未重跑原文 PostgreSQL 演练。

快速验证

在 Linux 环境中使用非超级操作系统账户运行脚本，准备 PostgreSQL 18 服务端、客户端和摘要校验工具。本次实际执行版本是 PostgreSQL 18.6。脚本建立互相独立的临时源集群与目标集群，使用私有 Unix 套接字，不打开网络监听。实验角色没有登录能力，通过受控角色切换验证授权，不涉及真实账户凭据。

#!/bin/sh
set -eu
umask 077
lab=$(mktemp -d /tmp/xbcatm-restore.XXXXXX)
mkdir "$lab/socket"
source=$lab/source
target=$lab/target
cleanup() {
 for cluster in "$target" "$source"; do
 if test -f "$cluster/postmaster.pid"; then
 pg_ctl -D "$cluster" -m fast -w stop >/dev/null
 fi
 done
}
trap cleanup EXIT
for cluster in "$source" "$target"; do
 initdb -D "$cluster" --no-locale --encoding=UTF8 --auth-local=trust --auth-host=reject >/dev/null
 cat >> "$cluster/postgresql.conf" <<CONF
listen_addresses = ''
unix_socket_directories = '$lab/socket'
CONF
done
printf 'port = 56432\n' >> "$source/postgresql.conf"
printf 'port = 56433\n' >> "$target/postgresql.conf"
pg_ctl -D "$source" -l "$lab/source.log" -w -t 15 start >/dev/null
pg_ctl -D "$target" -l "$lab/target.log" -w -t 15 start >/dev/null
export PGHOST=$lab/socket PGPORT=56432 PGDATABASE=postgres PGUSER=$(id -un)
export PGCONNECT_TIMEOUT=2
psql -X -v ON_ERROR_STOP=1 -qAt <<'SQL'
CREATE ROLE backup_reader NOLOGIN;
CREATE TABLE customers (id integer PRIMARY KEY,name text NOT NULL);
CREATE TABLE orders (id integer PRIMARY KEY,customer_id integer REFERENCES customers,amount_cents integer CHECK (amount_cents>0));
INSERT INTO customers VALUES (1,'Ada');
INSERT INTO orders VALUES (10,1,4210),(11,1,1865);
CREATE VIEW order_totals AS SELECT c.name,sum(o.amount_cents) AS total_cents FROM customers c JOIN orders o ON o.customer_id=c.id GROUP BY c.id,c.name;
GRANT SELECT ON customers,orders,order_totals TO backup_reader;
SQL
pg_dump -Fc -w -f "$lab/snapshot.dump" postgres
sha256sum "$lab/snapshot.dump" > "$lab/snapshot.sha256"
psql -X -v ON_ERROR_STOP=1 -qAt -c 'INSERT INTO orders VALUES (12,1,1000)'
printf 'source_after_backup_orders '
psql -X -v ON_ERROR_STOP=1 -qAt -c 'SELECT count(*) FROM orders'
sha256sum -c "$lab/snapshot.sha256"
if PGPORT=56433 pg_restore --single-transaction --exit-on-error -w -d postgres "$lab/snapshot.dump" >"$lab/missing-role.log" 2>&1; then
 echo 'restore unexpectedly ignored a missing role' >&2
 exit 1
fi
grep -F 'role "backup_reader" does not exist' "$lab/missing-role.log"
test "$(PGPORT=56433 psql -X -v ON_ERROR_STOP=1 -qAt -c "SELECT to_regclass('public.orders') IS NULL")" = t
echo failed_restore_rolled_back
PGPORT=56433 psql -X -v ON_ERROR_STOP=1 -qAt -c 'CREATE ROLE backup_reader NOLOGIN'
PGPORT=56433 pg_restore --single-transaction --exit-on-error -w -d postgres "$lab/snapshot.dump"
PGPORT=56433 psql -X -v ON_ERROR_STOP=1 -qAt <<'SQL'
SELECT count(*) FROM orders;
SELECT name,total_cents FROM order_totals;
SELECT has_table_privilege('backup_reader','orders','SELECT'),has_table_privilege('backup_reader','orders','INSERT');
DO $$ BEGIN
 IF (SELECT count(*) FROM orders)<>2 OR
 (SELECT string_agg(id||':'||amount_cents,',' ORDER BY id) FROM orders) IS DISTINCT FROM '10:4210,11:1865' OR
 (SELECT total_cents FROM order_totals WHERE name='Ada') IS DISTINCT FROM 6075 OR
 (SELECT count(*) FROM orders o LEFT JOIN customers c ON c.id=o.customer_id WHERE c.id IS NULL)<>0 THEN
 RAISE EXCEPTION 'restored business data mismatch';
 END IF;
END $$;
DO $$ BEGIN
 BEGIN
 INSERT INTO orders VALUES (98,999,100);
 RAISE EXCEPTION 'restored foreign key unexpectedly accepted an orphan';
 EXCEPTION WHEN foreign_key_violation THEN
 RAISE NOTICE 'restored foreign key rejected orphan';
 END;
END $$;
SET ROLE backup_reader;
SELECT id,amount_cents FROM orders ORDER BY id;
DO $$ BEGIN
 BEGIN
 INSERT INTO orders VALUES (99,1,100);
 RAISE EXCEPTION 'read-only role unexpectedly wrote data';
 EXCEPTION WHEN insufficient_privilege THEN
 RAISE NOTICE 'read-only role rejected write';
 END;
END $$;
SQL
printf 'lab_directory %s\n' "$lab"

源库包含一个客户、两笔订单、汇总视图、外键以及只读角色授权。自定义格式归档捕获这个状态，之后源库又增加第三笔订单。输出中源库订单数为三，证明选定备份点之外确实存在后续活动，避免测试把当前源库和已经保存的快照混为一谈。恢复目标是否应该包含第三笔，需要由选择的备份点决定。

摘要检查能够成功，首次恢复却必须由于目标缺少只读角色而失败。脚本核对具体错误，并确认订单表随事务回滚。这就是只检查归档文件无法发现的环境依赖。随后，在目标创建已经说明的实验角色，再使用同一份归档重复恢复，不通过跳过授权来掩盖缺失对象。

恢复目标必须包含原来的两笔订单及其正确标识、金额，视图必须给出客户 Ada 和六千零七十五分的汇总。第三笔订单此时缺席才是正确结果。插入不存在客户的订单，必须被已经恢复的外键拒绝。权限查询显示允许读取、拒绝插入；切换到只读角色后，实际查询应成功，真实写入尝试则必须失败。

这些断言分别覆盖数据内容、应用查询、关联约束以及实际权限。所有实验服务在退出时停止，打印目录保留归档和日志。演练没有测试外部认证、加密密钥恢复或应用进程启动；若这些属于真实系统的恢复依赖，就必须在完整恢复方案中补充，不能把角色授权验证直接当成整套登录链路已经正常。

留下能支持决策的恢复结果

生产演练应从准备承担恢复职责的来源取回材料，重建所需环境，恢复数据，再执行代表性的应用行为。安装兼容软件是正常恢复工作的一部分，应把所需时间和前提计入，而不是假定一台已经准备好的主机永远存在。生产系统不可用时，恢复所需访问能力也应该仍然能够取得。

把恢复总耗时与恢复时间目标比较，把恢复出来的终点与允许丢失的数据范围比较。计时应包括获取材料、验证以及应用真正可用，而不只是数据库命令本身运行了几秒。较大的恢复任务可以选择适合负载的事务与并行选项，但要明确发生部分失败之后如何判断和处理，不能一边要求原子性一边又采用不兼容的执行方式。

备份工具、模式、角色、保留策略或基础设施发生变化后，应重新演练。保存成功检查和已经修正的失败作为证据，让下一次恢复能够沿着确定输入重现。具有已知边界的可重复恢复流程，才能支持运行决策；备份调度器显示绿色，单独回答不了系统是否已经具备可用的恢复能力。

来源

PostgreSQL 18 pg_dump，单库导出范围及不包含的集群级对象，已核验 2026-09-12。
PostgreSQL 18 pg_restore，错误处理、单事务恢复、授权及并行限制，已核验 2026-09-12。
CISA 勒索软件防护指南，结合恢复依赖测试备份可用性与完整性，已核验 2026-09-12。

恢复 · XB 现场笔记

ZFS 快照给文件系统一个回退键

为一个一致的树命名

空间在哪里：zfs list -o space

hold、diff 与版本对比

坏掉的样子

快速验证

来源

没验证的备份只是空想

坏掉的样子

快速验证

留下能支持决策的恢复结果

延伸阅读

来源