服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境&故障：
某公司的信息管理平臺(tái)，通過3臺(tái)虛擬機(jī)共享了一臺(tái)存儲(chǔ)設(shè)備供企業(yè)內(nèi)部使用，存儲(chǔ)設(shè)備中存放了公司內(nèi)部重要的數(shù)據(jù)文件。
由于業(yè)務(wù)增長(zhǎng)的需要，管理員又在這個(gè)存儲(chǔ)網(wǎng)絡(luò)上連接了一臺(tái)Windows server服務(wù)器，結(jié)果這臺(tái)存儲(chǔ)變得不可用了。
管理員對(duì)該存儲(chǔ)進(jìn)行故障排查時(shí)發(fā)現(xiàn)存儲(chǔ)中虛擬磁盤丟失，分區(qū)表丟失。重啟該存儲(chǔ)設(shè)備后故障依舊。
由于存儲(chǔ)中的數(shù)據(jù)十分重要，沒有備份。管理員為了安全起見，聯(lián)系北亞企安數(shù)據(jù)恢復(fù)中心尋求幫助。
經(jīng)過硬件工程師的檢測(cè)，沒有發(fā)現(xiàn)存儲(chǔ)存在硬件故障。存儲(chǔ)中的硬盤經(jīng)過硬件工程師的檢測(cè)后也沒有發(fā)現(xiàn)任何物理故障，都可以正常讀取。基本上可以排除故障是由于硬件導(dǎo)致的。

服務(wù)器故障分析：
1、將存儲(chǔ)中所有磁盤編號(hào)后取出，以只讀方式將所有磁盤進(jìn)行扇區(qū)級(jí)別全盤鏡像，鏡像完成后將所有磁盤按照編號(hào)還原到故障存儲(chǔ)中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤中底層數(shù)據(jù)，經(jīng)過分析發(fā)現(xiàn)分區(qū)表被清零，有55AA的有效結(jié)束標(biāo)志，有硬盤ID標(biāo)志。現(xiàn)在基本上可以確定導(dǎo)致存儲(chǔ)故障的原因是新連接的Windows server服務(wù)器對(duì)storage的獨(dú)享操作導(dǎo)致了整個(gè)存儲(chǔ)的VMFS卷損壞。
3、繼續(xù)分析底層數(shù)據(jù)發(fā)現(xiàn)存儲(chǔ)中有一個(gè)沒有數(shù)據(jù)的NTFS卷。該卷的BITMAP內(nèi)容大小與存儲(chǔ)的全部空間大小相差無幾。在卷的幾個(gè)不同位置都有部分占用，但所有占用的空間加在一起只有100MB左右。
4、和用戶溝通后，得知存儲(chǔ)中有兩個(gè)VMFS分區(qū)：第一個(gè)分區(qū)占80%，第二個(gè)分區(qū)是第一個(gè)分區(qū)的擴(kuò)展分區(qū)，ntfs分區(qū)對(duì)源數(shù)據(jù)進(jìn)行破壞時(shí)并沒有涉及到第二個(gè)分區(qū)。所以需要恢復(fù)的主要是第一個(gè)分區(qū)上的數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、直接連接存儲(chǔ)的兩個(gè)VMFS分區(qū)，按照分區(qū)的組織方式直接提取出vmdk文件和配置文件。
2、提取出文件后通過nfs回遷數(shù)據(jù)對(duì)數(shù)據(jù)恢復(fù)結(jié)果進(jìn)行自檢。數(shù)據(jù)恢復(fù)工程師自檢無誤后通知用戶方來現(xiàn)場(chǎng)驗(yàn)證數(shù)據(jù)恢復(fù)結(jié)果，驗(yàn)證沒有問題后移交數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)結(jié)論：

這個(gè)案例存儲(chǔ)中數(shù)據(jù)丟失的原因就是光纖環(huán)境互斥不當(dāng)導(dǎo)致卷在Windows server系統(tǒng)下重新做了分區(qū)，并且執(zhí)行了格式化NTFS和刪除分區(qū)的操作。由于esx vmfs的互斥是獨(dú)立于硬件層面，而單獨(dú)依賴操作系統(tǒng)的，所以北亞企安數(shù)據(jù)恢復(fù)工程師在這里提醒大家：在存儲(chǔ)網(wǎng)絡(luò)中接入其他服務(wù)器時(shí)要注意先給存儲(chǔ)分配權(quán)限，以免導(dǎo)致數(shù)據(jù)丟失。

審核編輯 黃宇