服務器數(shù)據(jù)恢復-VMware虛擬機數(shù)據(jù)恢復案例

服務器數(shù)據(jù)恢復環(huán)境：

某公司信息管理平臺，數(shù)臺VMware ESX SERVER虛擬機共享一臺IBM某型號存儲。

服務器故障：

VC報告虛擬磁盤丟失，管理員ssh到ESX中執(zhí)行fdisk -l命令查看磁盤，發(fā)現(xiàn)STORAGE已經(jīng)沒有分區(qū)表了。重啟設備后，ESX SERVER無法連接到STORAGE。

和管理員溝通后得知，這個存儲網(wǎng)絡里曾經(jīng)連接過一臺windows server服務器。北亞企安數(shù)據(jù)恢復工程師推測那臺windows server服務器對STORAGE的獨享操作導致vmfs卷損壞。

對故障存儲進行分析后發(fā)現(xiàn)STORAGE分區(qū)表清零，有55aa有效結束標志，有硬盤ID標志。在分析的過程中，北亞企安數(shù)據(jù)恢復工程師發(fā)現(xiàn)了一個NTFS卷，但是沒有發(fā)現(xiàn)其中有寫入數(shù)據(jù)，好像是剛剛被格式化。分析這個NTFS卷的BITMAP，這個卷的大小和STORAGE總大小差不多。分別在三個位置占用部分空間，但總占用空間不超過100M。

分析VMFS卷發(fā)現(xiàn)原磁盤有2組VMFS分區(qū)，第2組分區(qū)是第一組的extend。因NTFS分區(qū)并未寫數(shù)據(jù)到第二個VMFS分區(qū)里(最后一個扇區(qū)的DBR備份沒有覆蓋有用數(shù)據(jù))，所以重點在于第一個VMFS分區(qū)。

分析第一組VMFS，發(fā)現(xiàn)卷頭結構丟失，一級索引、二級索引均存在。NTFS覆蓋的數(shù)據(jù)區(qū)正好是某組虛擬機的臨時內存鏡像，即使數(shù)據(jù)被破壞也沒有嚴重影響。

服務器數(shù)據(jù)恢復過程：

1、將STORAGE以只讀方式進行完整鏡像備份，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始數(shù)據(jù)造成二次破壞。

2、基于鏡像文件對STORAGE進行分析后，連接兩個VMFS分區(qū)，按照VMFS分區(qū)組織方式使用北亞企安自研工具提取所有VMDK及配置文件。

3、通過nfs將恢復數(shù)據(jù)遷移回ESX SERVER。

4、經(jīng)過用戶方工程師的檢測，確認恢復數(shù)據(jù)完整有效。本次數(shù)據(jù)恢復工作完成。

服務器數(shù)據(jù)恢復總結：

本案例中的故障原因就是典型的光纖環(huán)境互斥不當。實際上，應該是這個NTFS卷在WINDOWS系統(tǒng)上做了重新分區(qū)并格式化為NTFS，然后對分區(qū)做了刪除操作。因ESX VMFS的互斥不依賴于硬件，只依賴于操作系統(tǒng)驅動層，所以在其他服務器接入存儲網(wǎng)絡時一定要小心，確認存儲分配權限沒有問題。

審核編輯：湯梓紅