服務(wù)器數(shù)據(jù)恢復(fù)—異常斷電導(dǎo)致VMware虛擬機(jī)無法啟動的數(shù)據(jù)恢復(fù)案例

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
某大廠PS4000服務(wù)器，服務(wù)器上部署VMware ESXi虛擬化平臺。

服務(wù)器故障：
機(jī)房斷電，重啟后服務(wù)器中的某臺虛擬機(jī)不能正常啟動。管理員查看虛擬機(jī)配置文件，發(fā)現(xiàn)無法啟動的虛擬機(jī)的配置文件除了磁盤文件以外其他配置文件全部丟失，xxx-flat.vmdk磁盤文件和xxx-000001-delta.vmdk快照文件還存在。聯(lián)系VMware原廠工程師進(jìn)行診斷，VMware原廠工程師嘗試新建一個虛擬機(jī)，但發(fā)現(xiàn)存儲空間不足，于是將故障虛擬機(jī)下的xxx-flat.vmdk磁盤文件刪除了。VMware工程師重新建了一個虛擬機(jī)，分配了固定大小的虛擬磁盤，為虛擬機(jī)安裝了Windows Server操作系統(tǒng)，部署SQL Server數(shù)據(jù)庫（作為宏橋和索菲兩套應(yīng)用的數(shù)據(jù)庫），虛擬機(jī)磁盤包括：數(shù)據(jù)盤（精簡模式）+快照數(shù)據(jù)盤。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、在VMware vSphere Client上將掛載的存儲設(shè)備中的VMFS卷以正常方式卸載掉。然后將存儲上的VMFS卷通過網(wǎng)線的方式連接到北亞企安備份服務(wù)器上，將整個VMFS卷以扇區(qū)的方式鏡像到備份空間上。之后的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作均在備份的數(shù)據(jù)上進(jìn)行，避免對原始數(shù)據(jù)造成二次破壞。
2、基于備份文件分析VMFS卷的底層數(shù)據(jù)，服務(wù)器非正常斷電導(dǎo)致故障虛擬機(jī)目錄下的目錄項(xiàng)破壞，這種破壞只是破壞了文件的目錄項(xiàng)，不會影響虛擬機(jī)的重要數(shù)據(jù)，可以通過人工修復(fù)解決。
如果人為刪除某個文件的話，則目錄項(xiàng)對應(yīng)的數(shù)據(jù)區(qū)索引會被清掉，也不會影響刪除文件的實(shí)際數(shù)據(jù)，這種情況可根據(jù)刪除虛擬磁盤文件中的文件系統(tǒng)以及虛擬磁盤中的文件類型在VMFS卷自由空間中進(jìn)行碎片匹配和合并，最終恢復(fù)刪除的虛擬磁盤文件。
但是在上述的兩種情況之下又新建了一臺虛擬機(jī)，并且分配了虛擬磁盤。經(jīng)過分析發(fā)現(xiàn)分配的虛擬磁盤所使用的空間已經(jīng)全部清零了，也是說這個新建的虛擬機(jī)所占用的磁盤空間全部被清零。 如果新分配的虛擬磁盤占用了刪除虛擬機(jī)磁盤文件所釋放的空間，那么這部分空間的數(shù)據(jù)是無法恢復(fù)的。
故障虛擬機(jī)的目錄項(xiàng)區(qū)域：

北亞企安數(shù)據(jù)恢復(fù)——vmdk數(shù)據(jù)恢復(fù)

3、方案A：根據(jù)VMFS卷的結(jié)構(gòu)以及刪除虛擬磁盤的文件系統(tǒng)信息，在底層的自由空間中掃描符合刪除虛擬機(jī)磁盤的區(qū)域，:統(tǒng)計其數(shù)量和大小是否符合刪除虛擬磁盤的大小。根據(jù)虛擬磁盤中文件系統(tǒng)的信息將這些掃描到的碎片進(jìn)行排列組合，結(jié)果發(fā)現(xiàn)很多碎片缺失。重新掃描也沒有找到這些碎片。將掃描到的碎片按照虛擬磁盤原本的順序重組，暫且留空沒有找到的碎片。利用虛擬磁盤快照程序?qū)⒅亟M好的父盤和快照盤進(jìn)行合并生成一個新的虛擬磁盤。再用北亞企安自主開發(fā)的程序解釋虛擬磁盤中的文件系統(tǒng)，因?yàn)榇嬖跀?shù)據(jù)缺失的情況，文件系統(tǒng)解釋過程中有很多報錯，提示某些文件損壞。
解釋完的文件系統(tǒng)：

北亞企安數(shù)據(jù)恢復(fù)——vmdk數(shù)據(jù)恢復(fù)

文件系統(tǒng)解析完成后，沒有找到原始的數(shù)據(jù)庫文件。雖然宏橋備份和索菲備份這兩個目錄的目錄結(jié)構(gòu)正常，但是在嘗試將備份導(dǎo)入數(shù)據(jù)庫中時，數(shù)據(jù)庫導(dǎo)入程序報錯。
宏橋備份和索菲備份的部分目錄結(jié)構(gòu)：

北亞企安數(shù)據(jù)恢復(fù)——vmdk數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——vmdk數(shù)據(jù)恢復(fù)

導(dǎo)入.BAK文件報錯信息：

北亞企安數(shù)據(jù)恢復(fù)——vmdk數(shù)據(jù)恢復(fù)

4、方案B：由于實(shí)施方案一并沒有將原始的數(shù)據(jù)庫文件成功恢復(fù)，而且很多備份文件都無法正常使用。北亞企安數(shù)據(jù)恢復(fù)工程師只能采用方案B來恢復(fù)方案A中尚未恢復(fù)的數(shù)據(jù)庫文件。
根據(jù)SQLServer數(shù)據(jù)庫的結(jié)構(gòu)去自由空間中找到數(shù)據(jù)庫的開始位置。SQLServer數(shù)據(jù)庫的第9個頁會記錄本數(shù)據(jù)庫的數(shù)據(jù)庫名，根據(jù)這個特征核對此數(shù)據(jù)庫的頭部頁是否是正在查找的。SQLServer數(shù)據(jù)庫的每個頁中都會記錄數(shù)據(jù)庫頁編號以及文件號，北亞企安數(shù)據(jù)恢復(fù)工程師根據(jù)這個特征編寫數(shù)據(jù)庫掃描程序，去底層掃描所有符合數(shù)據(jù)庫頁的數(shù)據(jù)碎片。按順序?qū)呙璩鰜淼乃槠亟M成一個完整MDF文件，通過MDF校驗(yàn)程序檢測整個MDF文件的完整性。在整個校驗(yàn)過程中，只有cl_system3.dbf和erp42_jck.dbf這2個文件由于有部分碎片沒有找到所以校驗(yàn)不通過之外，其余數(shù)據(jù)庫文件均校驗(yàn)成功。
校驗(yàn)完的MDF文件：

北亞企安數(shù)據(jù)恢復(fù)——vmdk數(shù)據(jù)恢復(fù)

cl_system3.dbf文件中某個碎片丟失的區(qū)域：

北亞企安數(shù)據(jù)恢復(fù)——vmdk數(shù)據(jù)恢復(fù)

5、方案B：方案A和方案B的實(shí)施并沒有將所有的數(shù)據(jù)庫文件全部恢復(fù)出來。cl_system3.dbf和erp42_jck.dbf這2個文件因缺失部分頁導(dǎo)致其無法正常使用，可以嘗試通過備份來恢復(fù)這兩個數(shù)據(jù)庫文件，但是在檢查后發(fā)現(xiàn)cl_system3.dbf沒有備份，而erp42_jck.dbf只有最近一個月的全部增量備份。

北亞企安數(shù)據(jù)恢復(fù)——vmdk數(shù)據(jù)恢復(fù)

由于erp42_jck.dbf文件中只缺失少量的頁，因此可以根據(jù)缺失的頁號在增量備份中查找頁，然后補(bǔ)到erp42_jck.dbf文件中，通過這個方法可以恢復(fù)一部分丟失的數(shù)據(jù)庫頁。雖然補(bǔ)完后erp42_jck.dbf文件還是缺失部分頁，無法正常使用，但是通過北亞企安自主開發(fā)的數(shù)據(jù)庫解析程序，數(shù)據(jù)恢復(fù)工程師將erp42_jck.dbf文件中比較重要的幾十張表成功導(dǎo)出，并成功導(dǎo)入到新建的數(shù)據(jù)庫中。
6、在本地服務(wù)器中搭建和原始環(huán)境一樣的數(shù)據(jù)庫環(huán)境，用戶通過遠(yuǎn)程工具連接到驗(yàn)證服務(wù)器，安裝宏橋應(yīng)用軟件，由用戶方工程驗(yàn)證數(shù)據(jù)庫的完整性。經(jīng)過用戶方工程師的仔細(xì)驗(yàn)證，數(shù)據(jù)庫可以成功掛載，上層應(yīng)用可以正常運(yùn)行，數(shù)據(jù)記錄基本沒有缺失。用戶方認(rèn)可數(shù)據(jù)恢復(fù)結(jié)果。

北亞企安數(shù)據(jù)恢復(fù)——vmdk數(shù)據(jù)恢復(fù)

審核編輯 黃宇