Los pools de almacenamiento de libvirt y las instantáneas qcow2 no son una copia de seguridad

Qué es

El formato XML de instantáneas de libvirt describe el estado en un momento dado de los discos de un dominio (y, opcionalmente, de la memoria). virsh snapshot-create-as <domain> <name> crea una sin necesidad de escribir el XML a mano. Con discos QEMU y qcow2, una instantánea sin --disk-only ni un --memspec/--diskspec externo es normalmente una instantánea interna: los datos de la instantánea se guardan dentro del mismo archivo qcow2 que el estado actual del huésped (la misma característica de qcow2 con la que trabaja qemu-img snapshot). Una instantánea externa (por ejemplo, con --disk-only) convierte en cambio el archivo actual en una imagen de respaldo de solo lectura e inicia un nuevo archivo de superposición (overlay) que recibe todas las escrituras posteriores; el overlay solo contiene las diferencias respecto a su imagen de respaldo, lo que lo hace pequeño y rápido de crear. Se puede comprobar qué tipo se obtuvo con virsh snapshot-dumpxml <domain> <name> (snapshot='internal' o 'external').

Por qué importa

Una instantánea interna es una segunda versión de los datos multiplexada dentro de un único archivo. Si ese archivo qcow2 se trunca, su cabecera se corrompe o falla el dispositivo de almacenamiento subyacente, el estado actual y todas las instantáneas internas se pierden juntos — no existe una copia independiente. Las instantáneas externas al menos separan la imagen base de las escrituras posteriores, pero la imagen base sigue siendo un único archivo en el mismo almacenamiento del que depende el huésped; ninguna de las dos formas protege contra borrar el archivo equivocado, perder el pool de almacenamiento o un fallo que afecte a todo el hipervisor. Una instantánea es un punto de retorno, no una copia guardada en otro lugar.

Cómo aplicarlo

• Crear una instantánea interna como punto de retorno rápido antes de un cambio: virsh snapshot-create-as guest1 pre-upgrade --description "before package upgrade".
• Listar y revertir: virsh snapshot-list guest1, virsh snapshot-revert guest1 pre-upgrade. Revertir es destructivo: se pierde todo lo escrito desde la instantánea. Eliminar instantáneas externas con virsh requiere libvirt 9.0 o posterior, y revertir a ellas requiere la 9.9 o posterior; las versiones anteriores lo rechazan.
• Eliminar las instantáneas que ya no se necesiten (virsh snapshot-delete guest1 pre-upgrade); las instantáneas internas acumuladas mantienen reservados clústeres antiguos y hacen crecer el archivo qcow2.
• Inspeccionar la imagen: qemu-img info -U /var/lib/libvirt/images/guest1.qcow2 muestra el formato, el tamaño virtual, la imagen de respaldo y las instantáneas internas (-U/--force-share es necesario mientras un huésped mantiene el bloqueo de la imagen). Ejecutar qemu-img check solo con el huésped apagado; el manual de qemu-img advierte de que nunca hay que modificar una imagen en uso y que consultarla puede mostrar un estado incoherente.
• Para una copia de seguridad real, copiar la imagen de disco (o su contenido exportado) a un almacenamiento distinto o a otro host, además de cualquier instantánea.

Trampas

• Tratar la salida de virsh snapshot-create-as como prueba de un retorno seguro; solo protege contra errores dentro del huésped, no contra la pérdida de la imagen.
• Dejar que se acumulen instantáneas internas (el archivo qcow2 no deja de crecer), o usar qemu-img snapshot (o cualquier otro comando de qemu-img que modifique la imagen) sobre la imagen de un huésped en ejecución — eso puede destruir la imagen; usar virsh mientras el huésped está en ejecución.
• Olvidar el estado de la memoria: una instantánea con --disk-only captura los discos pero no la RAM del huésped, de modo que revertir produce un estado consistente ante fallo, como tras un corte de energía, a menos que los sistemas de archivos se hayan puesto en reposo (--quiesce, que necesita el agente del huésped).