服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境&故障：
某公司的信息管理平臺，通過3臺虛擬機(jī)共享了一臺存儲設(shè)備供企業(yè)內(nèi)部使用，存儲設(shè)備中存放了公司內(nèi)部重要的數(shù)據(jù)文件。
由于業(yè)務(wù)增長的需要，管理員又在這個存儲網(wǎng)絡(luò)上連接了一臺Windows server服務(wù)器，結(jié)果這臺存儲變得不可用了。
管理員對該存儲進(jìn)行故障排查時發(fā)現(xiàn)存儲中虛擬磁盤丟失，分區(qū)表丟失。重啟該存儲設(shè)備后故障依舊。
由于存儲中的數(shù)據(jù)十分重要，沒有備份。管理員為了安全起見，聯(lián)系北亞企安數(shù)據(jù)恢復(fù)中心尋求幫助。
經(jīng)過硬件工程師的檢測，沒有發(fā)現(xiàn)存儲存在硬件故障。存儲中的硬盤經(jīng)過硬件工程師的檢測后也沒有發(fā)現(xiàn)任何物理故障，都可以正常讀取。基本上可以排除故障是由于硬件導(dǎo)致的。

服務(wù)器故障分析：
1、將存儲中所有磁盤編號后取出，以只讀方式將所有磁盤進(jìn)行扇區(qū)級別全盤鏡像，鏡像完成后將所有磁盤按照編號還原到故障存儲中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤中底層數(shù)據(jù)，經(jīng)過分析發(fā)現(xiàn)分區(qū)表被清零，有55AA的有效結(jié)束標(biāo)志，有硬盤ID標(biāo)志?，F(xiàn)在基本上可以確定導(dǎo)致存儲故障的原因是新連接的Windows server服務(wù)器對storage的獨享操作導(dǎo)致了整個存儲的VMFS卷損壞。
3、繼續(xù)分析底層數(shù)據(jù)發(fā)現(xiàn)存儲中有一個沒有數(shù)據(jù)的NTFS卷。該卷的BITMAP內(nèi)容大小與存儲的全部空間大小相差無幾。在卷的幾個不同位置都有部分占用，但所有占用的空間加在一起只有100MB左右。
4、和用戶溝通后，得知存儲中有兩個VMFS分區(qū)：第一個分區(qū)占80%，第二個分區(qū)是第一個分區(qū)的擴(kuò)展分區(qū)，ntfs分區(qū)對源數(shù)據(jù)進(jìn)行破壞時并沒有涉及到第二個分區(qū)。所以需要恢復(fù)的主要是第一個分區(qū)上的數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、直接連接存儲的兩個VMFS分區(qū)，按照分區(qū)的組織方式直接提取出vmdk文件和配置文件。
2、提取出文件后通過nfs回遷數(shù)據(jù)對數(shù)據(jù)恢復(fù)結(jié)果進(jìn)行自檢。數(shù)據(jù)恢復(fù)工程師自檢無誤后通知用戶方來現(xiàn)場驗證數(shù)據(jù)恢復(fù)結(jié)果，驗證沒有問題后移交數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)結(jié)論：

這個案例存儲中數(shù)據(jù)丟失的原因就是光纖環(huán)境互斥不當(dāng)導(dǎo)致卷在Windows server系統(tǒng)下重新做了分區(qū)，并且執(zhí)行了格式化NTFS和刪除分區(qū)的操作。由于esx vmfs的互斥是獨立于硬件層面，而單獨依賴操作系統(tǒng)的，所以北亞企安數(shù)據(jù)恢復(fù)工程師在這里提醒大家：在存儲網(wǎng)絡(luò)中接入其他服務(wù)器時要注意先給存儲分配權(quán)限，以免導(dǎo)致數(shù)據(jù)丟失。

審核編輯 黃宇