服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
一臺(tái)服務(wù)器通過(guò)FreeNAS（本案例使用的是UFS2文件系統(tǒng)）實(shí)現(xiàn)iSCSI存儲(chǔ)，整個(gè)UFS2文件系統(tǒng)作為一個(gè)文件掛載到ESXi虛擬化系統(tǒng)（安裝在另外2臺(tái)服務(wù)器上）上。該虛擬化系統(tǒng)一共有5臺(tái)虛擬機(jī)，其中有3臺(tái)虛擬機(jī)中的數(shù)據(jù)比較重要：一臺(tái)虛擬機(jī)上部署了ASP.net+SqlServer和PHP+mysql；第二臺(tái)虛擬機(jī)安裝的FreeBSD，部署了MySQL數(shù)據(jù)庫(kù)；第三臺(tái)虛擬機(jī)存放的是代碼數(shù)據(jù)。
本案例應(yīng)用構(gòu)架層次：FreeNAS(UFS2文件系統(tǒng)–> 一個(gè)大的稀疏模式的文件) –> ESXi (VMFS文件系統(tǒng)層) -> 單臺(tái)虛擬機(jī)的虛擬磁盤 (windows-NTFS文件系統(tǒng)/FreeBSD-UFS2文件系統(tǒng))。

服務(wù)器故障：
作為iSCSI存儲(chǔ)的服務(wù)器在正常運(yùn)行過(guò)程中異常斷電，重啟后虛擬化系統(tǒng)無(wú)法連接該服務(wù)器，F(xiàn)reeNAS的UFS2文件系統(tǒng)出現(xiàn)問(wèn)題，管理員對(duì)UFS2文件系統(tǒng)進(jìn)行了修復(fù)，但是ESXI虛擬化系統(tǒng)無(wú)法識(shí)別原有的數(shù)據(jù)和UFS2文件系統(tǒng)。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、對(duì)FreeNAS層做只讀鏡像，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免數(shù)據(jù)恢復(fù)操作對(duì)原始數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析整個(gè)存儲(chǔ)，只發(fā)現(xiàn)了一個(gè)文件名為iscsidata的、大小數(shù)百GB的文件。
3、根據(jù)UFS2文件系統(tǒng)的二進(jìn)制結(jié)構(gòu)定位到iscsidata文件的Inode數(shù)據(jù)，經(jīng)過(guò)檢測(cè)發(fā)現(xiàn)該文件被重建過(guò)，inode指針指向的數(shù)據(jù)量很少，在FreeNAS層無(wú)法解決問(wèn)題，所以就無(wú)法進(jìn)行下一步的VMFS層分析。
4、由于iscsidata文件重建過(guò)，過(guò)程和大小都和原iscsidata文件一致，應(yīng)該有部分指針塊被覆蓋。原iscsidata文件的inode和新建的iscsidata文件的inode在同一個(gè)位置，嘗試搜索沒(méi)有發(fā)現(xiàn)其它有用的inode。
5、北亞企安數(shù)據(jù)恢復(fù)工程師編寫程序收集有用的指針塊。

北亞企安數(shù)據(jù)恢復(fù)——FreeNAS數(shù)據(jù)恢復(fù)

由于iscsidata文件采用的稀疏模式，放寬收集條件后收集到了大量三級(jí)指針塊和二級(jí)指針塊。
6、經(jīng)過(guò)分析發(fā)現(xiàn)所有收集到的三級(jí)指針塊都是無(wú)效的，沒(méi)有找到iscsidata文件使用的三級(jí)指針塊，應(yīng)該是在新建iscsidata文件時(shí)被覆蓋。
7、分析收集到的二級(jí)指針塊并對(duì)大量的二級(jí)指針塊的指向數(shù)據(jù)進(jìn)行DUMP，然后從磁盤中的數(shù)據(jù)定位到二級(jí)指針。通過(guò)這種方式獲取到大量DUMP的數(shù)據(jù)。
8、分析VMFS層。由于VMFS重新格式化過(guò)，原始UFS2的指針已丟失，所以VMFS元文件不可用。
9、通過(guò)單臺(tái)虛擬機(jī)層(windows(NTFS)和FreeBSD(UFS2)的文件系統(tǒng)結(jié)構(gòu))，向上定位到VMFS層，然后通過(guò)VMFS層定位到DUMP出的單個(gè)64GB文件。通過(guò)多次組合，最終將三臺(tái)重要虛擬機(jī)的虛擬磁盤完全恢復(fù)。將恢復(fù)出的網(wǎng)頁(yè)數(shù)據(jù)和數(shù)據(jù)庫(kù)數(shù)據(jù)上傳到準(zhǔn)備好的系統(tǒng)中，拉起應(yīng)用并對(duì)數(shù)據(jù)進(jìn)行檢測(cè)，沒(méi)有發(fā)現(xiàn)任何問(wèn)題。

北亞企安數(shù)據(jù)恢復(fù)——FreeNAS數(shù)據(jù)恢復(fù)

10、經(jīng)過(guò)用戶方的仔細(xì)檢測(cè)后，確認(rèn)3臺(tái)重要虛擬機(jī)中的數(shù)據(jù)成功恢復(fù)，認(rèn)可本次數(shù)據(jù)恢復(fù)結(jié)果。本次服務(wù)器數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇