服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：

某公司信息管理平臺(tái)，數(shù)臺(tái)VMware ESX SERVER虛擬機(jī)共享一臺(tái)IBM某型號(hào)存儲(chǔ)。

服務(wù)器故障：

VC報(bào)告虛擬磁盤丟失，管理員ssh到ESX中執(zhí)行fdisk -l命令查看磁盤，發(fā)現(xiàn)STORAGE已經(jīng)沒(méi)有分區(qū)表了。重啟設(shè)備后，ESX SERVER無(wú)法連接到STORAGE。

和管理員溝通后得知，這個(gè)存儲(chǔ)網(wǎng)絡(luò)里曾經(jīng)連接過(guò)一臺(tái)windows server服務(wù)器。北亞企安數(shù)據(jù)恢復(fù)工程師推測(cè)那臺(tái)windows server服務(wù)器對(duì)STORAGE的獨(dú)享操作導(dǎo)致vmfs卷?yè)p壞。

對(duì)故障存儲(chǔ)進(jìn)行分析后發(fā)現(xiàn)STORAGE分區(qū)表清零，有55aa有效結(jié)束標(biāo)志，有硬盤ID標(biāo)志。在分析的過(guò)程中，北亞企安數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)了一個(gè)NTFS卷，但是沒(méi)有發(fā)現(xiàn)其中有寫入數(shù)據(jù)，好像是剛剛被格式化。分析這個(gè)NTFS卷的BITMAP，這個(gè)卷的大小和STORAGE總大小差不多。分別在三個(gè)位置占用部分空間，但總占用空間不超過(guò)100M。

分析VMFS卷發(fā)現(xiàn)原磁盤有2組VMFS分區(qū)，第2組分區(qū)是第一組的extend。因NTFS分區(qū)并未寫數(shù)據(jù)到第二個(gè)VMFS分區(qū)里(最后一個(gè)扇區(qū)的DBR備份沒(méi)有覆蓋有用數(shù)據(jù))，所以重點(diǎn)在于第一個(gè)VMFS分區(qū)。

分析第一組VMFS，發(fā)現(xiàn)卷頭結(jié)構(gòu)丟失，一級(jí)索引、二級(jí)索引均存在。NTFS覆蓋的數(shù)據(jù)區(qū)正好是某組虛擬機(jī)的臨時(shí)內(nèi)存鏡像，即使數(shù)據(jù)被破壞也沒(méi)有嚴(yán)重影響。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：

1、將STORAGE以只讀方式進(jìn)行完整鏡像備份，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始數(shù)據(jù)造成二次破壞。

2、基于鏡像文件對(duì)STORAGE進(jìn)行分析后，連接兩個(gè)VMFS分區(qū)，按照VMFS分區(qū)組織方式使用北亞企安自研工具提取所有VMDK及配置文件。

3、通過(guò)nfs將恢復(fù)數(shù)據(jù)遷移回ESX SERVER。

4、經(jīng)過(guò)用戶方工程師的檢測(cè)，確認(rèn)恢復(fù)數(shù)據(jù)完整有效。本次數(shù)據(jù)恢復(fù)工作完成。

服務(wù)器數(shù)據(jù)恢復(fù)總結(jié)：

本案例中的故障原因就是典型的光纖環(huán)境互斥不當(dāng)。實(shí)際上，應(yīng)該是這個(gè)NTFS卷在WINDOWS系統(tǒng)上做了重新分區(qū)并格式化為NTFS，然后對(duì)分區(qū)做了刪除操作。因ESX VMFS的互斥不依賴于硬件，只依賴于操作系統(tǒng)驅(qū)動(dòng)層，所以在其他服務(wù)器接入存儲(chǔ)網(wǎng)絡(luò)時(shí)一定要小心，確認(rèn)存儲(chǔ)分配權(quán)限沒(méi)有問(wèn)題。

審核編輯：湯梓紅