【服務(wù)器數(shù)據(jù)恢復(fù)】虛擬機(jī)文件丟失導(dǎo)致Hyper-V服務(wù)癱瘓的數(shù)據(jù)恢復(fù)

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：

Windows Server服務(wù)器，部署Hyper-V虛擬機(jī)環(huán)境;

虛擬機(jī)的硬盤(pán)文件和配置文件存放在某托管中心的存儲(chǔ)設(shè)備中;

存儲(chǔ)設(shè)備中4塊硬盤(pán)組成陣列存儲(chǔ)虛擬機(jī)的數(shù)據(jù)文件，單塊4T硬盤(pán)存儲(chǔ)虛擬機(jī)數(shù)據(jù)文件備份。

服務(wù)器故障分析&恢復(fù)方案：

由于存儲(chǔ)設(shè)備中的虛擬機(jī)數(shù)據(jù)文件丟失，整個(gè)Hyper-V服務(wù)癱瘓，虛擬機(jī)無(wú)法使用。管理員聯(lián)系我們數(shù)據(jù)恢復(fù)中心尋求幫助，北亞數(shù)據(jù)恢復(fù)工程師團(tuán)隊(duì)對(duì)故障存儲(chǔ)服務(wù)器進(jìn)行檢測(cè)：

1、檢測(cè)故障存儲(chǔ)服務(wù)器沒(méi)有發(fā)現(xiàn)物理故障，硬盤(pán)均可以正常工作。

2、檢查操作系統(tǒng)沒(méi)有發(fā)現(xiàn)出錯(cuò)進(jìn)程，排除因操作系統(tǒng)問(wèn)題導(dǎo)致的數(shù)據(jù)丟失。

3、分析丟失數(shù)據(jù)的硬盤(pán)的文件系統(tǒng)：打開(kāi)正常，排除入侵破壞的可能性。在分析硬盤(pán)的文件系統(tǒng)過(guò)程中發(fā)現(xiàn)此文件系統(tǒng)的元文件創(chuàng)建時(shí)間與數(shù)據(jù)丟失的時(shí)間相吻合。發(fā)現(xiàn)這種情況，數(shù)據(jù)恢復(fù)工程師初步判斷文件系統(tǒng)被人為重寫(xiě)，即分區(qū)被格式化。

4、檢查系統(tǒng)日志發(fā)現(xiàn)數(shù)據(jù)丟失的當(dāng)天和之前的系統(tǒng)日志已被清空，審核日志和服務(wù)日志卻并未清空，這種情況符合人為操作的特征。格式化分區(qū)的操作只記錄在系統(tǒng)日志中，這也與人為破壞的特征相符。

5、分析硬盤(pán)的底層數(shù)據(jù)，發(fā)現(xiàn)硬盤(pán)底層中需要恢復(fù)的系統(tǒng)日志已被新的日志記錄覆蓋，無(wú)法恢復(fù)。

6、對(duì)操作系統(tǒng)中的所有分區(qū)進(jìn)行分析，發(fā)現(xiàn)故障存儲(chǔ)中只有兩個(gè)分區(qū)被重新寫(xiě)入文件系統(tǒng)。對(duì)兩個(gè)分區(qū)的格式化需要有兩個(gè)獨(dú)立的過(guò)程，這種針對(duì)性的操作更加驗(yàn)證本案例的故障是人為導(dǎo)致。

根據(jù)故障分析結(jié)論，北亞數(shù)據(jù)恢復(fù)工程師團(tuán)隊(duì)敲定以下恢復(fù)方案：

1、對(duì)故障存儲(chǔ)中的所有硬盤(pán)做全盤(pán)備份。

2、分析每個(gè)硬盤(pán)的數(shù)據(jù)獲取到RAID相關(guān)信息，重組RAID陣列。

3、對(duì)重組的陣列進(jìn)行分析，看能否找到原有的文件索引項(xiàng)及對(duì)應(yīng)的數(shù)據(jù)區(qū)。

4、核對(duì)查找到的文件索引項(xiàng)是否符合用戶數(shù)據(jù)，并核對(duì)相應(yīng)的數(shù)據(jù)區(qū)有無(wú)破壞。

5、將掃描到的文件索引項(xiàng)碎片拼接成一個(gè)完整的目錄結(jié)構(gòu)。

6、根據(jù)拼接好的目錄項(xiàng)去底層恢復(fù)對(duì)應(yīng)的數(shù)據(jù)，并檢查數(shù)據(jù)是否正確。

7、核對(duì)數(shù)據(jù)沒(méi)問(wèn)題后恢復(fù)所有數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：

1、備份用戶數(shù)據(jù)。

由于數(shù)據(jù)全部都放在托管中心的存儲(chǔ)設(shè)備中，因此只需要恢復(fù)存儲(chǔ)設(shè)備中的數(shù)據(jù)即可。將故障存儲(chǔ)中所有的硬盤(pán)編號(hào)后從存儲(chǔ)設(shè)備中取出交給硬件工程師檢測(cè)硬盤(pán)物理故障。檢測(cè)完成后對(duì)每塊硬盤(pán)做全盤(pán)鏡像，使用工具將硬盤(pán)中所有扇區(qū)鏡像到備份硬盤(pán)中。

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

2、重組RAID磁盤(pán)陣列。

分析每塊硬盤(pán)數(shù)據(jù)獲取RAID相關(guān)信息(條帶大小，條帶走向等)，根據(jù)這些信息重組RAID。

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

3、掃描舊的文件索引項(xiàng)。

分析硬盤(pán)底層數(shù)據(jù)，服務(wù)器數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)硬盤(pán)底層中殘留著許多以前文件系統(tǒng)的目錄項(xiàng)及文件索引。經(jīng)過(guò)核對(duì)發(fā)現(xiàn)這些文件索引指向的數(shù)據(jù)都是用戶丟失的文件內(nèi)容。北亞數(shù)據(jù)恢復(fù)工程師編寫(xiě)了一個(gè)提取文件索引項(xiàng)的小程序掃描并提取硬盤(pán)中所有存在的文件索引項(xiàng)。

4、分析掃描到文件索引項(xiàng)。

對(duì)掃描到的文件索引項(xiàng)進(jìn)行分析，北亞數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)索引項(xiàng)都是不連續(xù)的，并且大多是以16K或8K對(duì)齊的。正常情況下的文件索引項(xiàng)是連續(xù)的，大小為固定的1K，每個(gè)文件索引項(xiàng)對(duì)應(yīng)一個(gè)文件或目錄。而掃描出來(lái)的這些不連續(xù)且不完整的文件索引項(xiàng)是無(wú)法正常索引到文件的內(nèi)容。北亞數(shù)據(jù)恢復(fù)工程師對(duì)掃描出來(lái)的文件索引項(xiàng)做加工處理，對(duì)于被破壞的缺失文件索引項(xiàng)片段，我們可以從數(shù)據(jù)備份盤(pán)中去查找。

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

5、將文件索引項(xiàng)組成完整的目錄結(jié)構(gòu)。

根據(jù)文件索引項(xiàng)的編號(hào)將找到的文件索引項(xiàng)拼接成目錄項(xiàng)結(jié)構(gòu)。由于有部分文件索引項(xiàng)被破壞，因此只能找到大部分文件索引項(xiàng)，但通過(guò)這些找到的文件索引項(xiàng)已經(jīng)可以拼接出整個(gè)目錄結(jié)構(gòu)。

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

6、修復(fù)文件系統(tǒng)。

用重建好的目錄結(jié)構(gòu)替換現(xiàn)有文件系統(tǒng)中的目錄結(jié)構(gòu)，使用工具修改部分校驗(yàn)值，然后再使用工具解釋這個(gè)目錄結(jié)構(gòu)即可看到丟失的數(shù)據(jù)。

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

為了確定數(shù)據(jù)是否正確，將其中一個(gè)最新的VHD文件恢復(fù)出來(lái)并拷貝到一臺(tái)支持附加VHD的服務(wù)器上嘗試附加此VHD，附加成功，檢查VHD中最新的數(shù)據(jù)是否完整后將所有數(shù)據(jù)恢復(fù)到一塊硬盤(pán)中。

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

驗(yàn)證數(shù)據(jù)：

在一臺(tái)測(cè)試服務(wù)器上搭建Hyper-V的環(huán)境，將恢復(fù)出來(lái)的虛擬機(jī)文件連接到這臺(tái)服務(wù)器上。通過(guò)導(dǎo)入虛擬機(jī)的方式將恢復(fù)出來(lái)的數(shù)據(jù)都遷移到新的Hyper-V環(huán)境，讓用戶來(lái)驗(yàn)證所有虛擬機(jī)是否完整。

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

遷移數(shù)據(jù)：

在用戶驗(yàn)證所有虛擬機(jī)沒(méi)問(wèn)題后，將所有數(shù)據(jù)拷貝至用戶服務(wù)器中。利用導(dǎo)入的方式將虛擬機(jī)導(dǎo)入到用戶的Hyper-V環(huán)境中，導(dǎo)入后沒(méi)有報(bào)錯(cuò)，嘗試啟動(dòng)所有虛擬機(jī)成功，沒(méi)有發(fā)現(xiàn)問(wèn)題。數(shù)據(jù)恢復(fù)完成。

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

北亞數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

審核編輯：湯梓紅