服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境&故障：
一臺配有32塊硬盤的服務(wù)器在運(yùn)行過程中突然崩潰不可用。經(jīng)過初步檢測，基本上確定服務(wù)器硬件不存在物理故障。管理員重啟服務(wù)器后問題依舊。需要恢復(fù)該服務(wù)器中的數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
1、將服務(wù)器中硬盤做好標(biāo)記后取出，硬件工程師檢測后沒有發(fā)現(xiàn)有硬盤存在硬件故障，都可以正常讀取。使用專業(yè)工具對所有硬盤進(jìn)行扇區(qū)級全盤鏡像。鏡像完成后按照原樣將所有硬盤還原到原服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤底層數(shù)據(jù)。通過分析獲取到和故障服務(wù)器有關(guān)的信息：服務(wù)器通過zfs文件系統(tǒng)管理所有磁盤。服務(wù)器中的32塊硬盤共創(chuàng)建了4組raidz陣列。兩組raidz陣列硬盤離線后都啟用了熱備盤，熱備盤上線后這兩組raidz陣列中又有硬盤離線。
3、ZFS管理的存儲池與常規(guī)存儲池有所不同。常規(guī)RAID陣列存儲數(shù)據(jù)，按照特定的規(guī)則組建池，不關(guān)心文件在子設(shè)備上的位置。ZFS存儲數(shù)據(jù)會為每次寫入的數(shù)據(jù)分配適當(dāng)大小的空間，并計(jì)算出指向子設(shè)備的數(shù)據(jù)指針。ZFS的這種特性導(dǎo)致RAIDZ陣列在缺盤時(shí)無法直接通過校驗(yàn)得到數(shù)據(jù)，而是需要將整個(gè)ZPOOL作為整體進(jìn)行解析。
4、手工截取事務(wù)塊數(shù)據(jù)，數(shù)據(jù)恢復(fù)工程師編寫程序獲取最大事務(wù)號入口。
獲取文件系統(tǒng)入口：

北亞企安數(shù)據(jù)恢復(fù)—zfs文件系統(tǒng)數(shù)據(jù)恢復(fù)

5、獲取到文件系統(tǒng)入口后，北亞企安數(shù)據(jù)恢復(fù)工程師編寫數(shù)據(jù)指針解析程序解析地址。
解析數(shù)據(jù)指針：

北亞企安數(shù)據(jù)恢復(fù)—zfs文件系統(tǒng)數(shù)據(jù)恢復(fù)

6、獲取到文件系統(tǒng)入口點(diǎn)在各磁盤分布情況后，北亞企安數(shù)據(jù)恢復(fù)工程師手工截取并分析文件系統(tǒng)內(nèi)部結(jié)構(gòu)。由于入口點(diǎn)所在的磁盤組無缺失盤，可直接提取數(shù)據(jù)。根據(jù)ZFS文件系統(tǒng)的數(shù)據(jù)存儲結(jié)構(gòu)順利找到映射的LUN名稱，進(jìn)而找到其節(jié)點(diǎn)。
7、分析后發(fā)現(xiàn)在本案例中的ZFS版本與開源版本有較大差別，無法使用已開發(fā)的解析程序進(jìn)行解析。于是數(shù)據(jù)恢復(fù)工程師重新編寫了數(shù)據(jù)提取程序。

北亞企安數(shù)據(jù)恢復(fù)—zfs文件系統(tǒng)數(shù)據(jù)恢復(fù)

8、由于磁盤組內(nèi)缺盤個(gè)數(shù)較多，每個(gè)IO流都需要通過校驗(yàn)得到，恢復(fù)數(shù)據(jù)的速度極為緩慢。與用戶方溝通后得知，此ZVOL卷映射到XenServer作為存儲設(shè)備。用戶方所需的文件在其中一個(gè)vhd內(nèi)。提取ZVOL卷頭部信息，按照XenStore卷存儲結(jié)構(gòu)進(jìn)行分析，發(fā)現(xiàn)該vhd在整個(gè)卷的尾部，計(jì)算得到其起始位置后從此位置開始提取數(shù)據(jù)。
9、Vhd提取完成后，驗(yàn)證其內(nèi)部的壓縮包、圖片、視頻等文件，均可正常打開。
10、用戶方驗(yàn)證數(shù)據(jù)后，確定文件數(shù)量與系統(tǒng)自動記錄的文件個(gè)數(shù)相差無幾。出現(xiàn)文件數(shù)量出入的原因應(yīng)該是這些沒有恢復(fù)出來的文件是最新生成的，還未存放到磁盤。驗(yàn)證文件的可用性，文件全部可正常打開。用戶方認(rèn)可數(shù)據(jù)恢復(fù)結(jié)果。

審核編輯 黃宇