服務(wù)器數(shù)據(jù)恢復(fù)-VMware虛擬機數(shù)據(jù)恢復(fù)案例

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：

某公司信息管理平臺，數(shù)臺VMware ESX SERVER虛擬機共享一臺IBM某型號存儲。

服務(wù)器故障：

VC報告虛擬磁盤丟失，管理員ssh到ESX中執(zhí)行fdisk -l命令查看磁盤，發(fā)現(xiàn)STORAGE已經(jīng)沒有分區(qū)表了。重啟設(shè)備后，ESX SERVER無法連接到STORAGE。

和管理員溝通后得知，這個存儲網(wǎng)絡(luò)里曾經(jīng)連接過一臺windows server服務(wù)器。北亞企安數(shù)據(jù)恢復(fù)工程師推測那臺windows server服務(wù)器對STORAGE的獨享操作導(dǎo)致vmfs卷損壞。

對故障存儲進(jìn)行分析后發(fā)現(xiàn)STORAGE分區(qū)表清零，有55aa有效結(jié)束標(biāo)志，有硬盤ID標(biāo)志。在分析的過程中，北亞企安數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)了一個NTFS卷，但是沒有發(fā)現(xiàn)其中有寫入數(shù)據(jù)，好像是剛剛被格式化。分析這個NTFS卷的BITMAP，這個卷的大小和STORAGE總大小差不多。分別在三個位置占用部分空間，但總占用空間不超過100M。

分析VMFS卷發(fā)現(xiàn)原磁盤有2組VMFS分區(qū)，第2組分區(qū)是第一組的extend。因NTFS分區(qū)并未寫數(shù)據(jù)到第二個VMFS分區(qū)里(最后一個扇區(qū)的DBR備份沒有覆蓋有用數(shù)據(jù))，所以重點在于第一個VMFS分區(qū)。

分析第一組VMFS，發(fā)現(xiàn)卷頭結(jié)構(gòu)丟失，一級索引、二級索引均存在。NTFS覆蓋的數(shù)據(jù)區(qū)正好是某組虛擬機的臨時內(nèi)存鏡像，即使數(shù)據(jù)被破壞也沒有嚴(yán)重影響。

服務(wù)器數(shù)據(jù)恢復(fù)過程：

1、將STORAGE以只讀方式進(jìn)行完整鏡像備份，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始數(shù)據(jù)造成二次破壞。

2、基于鏡像文件對STORAGE進(jìn)行分析后，連接兩個VMFS分區(qū)，按照VMFS分區(qū)組織方式使用北亞企安自研工具提取所有VMDK及配置文件。

3、通過nfs將恢復(fù)數(shù)據(jù)遷移回ESX SERVER。

4、經(jīng)過用戶方工程師的檢測，確認(rèn)恢復(fù)數(shù)據(jù)完整有效。本次數(shù)據(jù)恢復(fù)工作完成。

服務(wù)器數(shù)據(jù)恢復(fù)總結(jié)：

本案例中的故障原因就是典型的光纖環(huán)境互斥不當(dāng)。實際上，應(yīng)該是這個NTFS卷在WINDOWS系統(tǒng)上做了重新分區(qū)并格式化為NTFS，然后對分區(qū)做了刪除操作。因ESX VMFS的互斥不依賴于硬件，只依賴于操作系統(tǒng)驅(qū)動層，所以在其他服務(wù)器接入存儲網(wǎng)絡(luò)時一定要小心，確認(rèn)存儲分配權(quán)限沒有問題。

審核編輯：湯梓紅