虛擬化數(shù)據(jù)恢復(fù)環(huán)境：
SAN環(huán)境下通過iSCSI實(shí)現(xiàn)FreeNAS，F(xiàn)reeNAS采用的UFS2文件系統(tǒng)。物理存儲(chǔ)架構(gòu)在一臺(tái)服務(wù)器上，另外兩臺(tái)服務(wù)器上安裝ESXi虛擬化系統(tǒng)。整個(gè)存儲(chǔ)建立一個(gè)稀疏模式的文件，并掛載到ESXi虛擬化系統(tǒng)上。ESXi系統(tǒng)上有5臺(tái)虛擬機(jī)。
其中有三臺(tái)虛擬機(jī)比較重要：第一臺(tái)安裝windows server操作系統(tǒng)的虛擬機(jī)作為網(wǎng)站服務(wù)器使用，部署了ASP.net+SqlServer和PHP+mysql兩套架構(gòu)；第二臺(tái)虛擬機(jī)安裝FreeBSD系統(tǒng)，部署Mysql數(shù)據(jù)庫，供其它幾臺(tái)虛擬機(jī)使用；第三臺(tái)虛擬機(jī)安裝windows server操作系統(tǒng)，存放程序代碼。

虛擬化故障：
一次異常斷電后，ESXi虛擬化系統(tǒng)連不上存儲(chǔ)。管理員發(fā)現(xiàn)FreeNAS上的UFS2文件系統(tǒng)出現(xiàn)問題，于是使用fsck命令修復(fù)文件系統(tǒng)。 雖然在修復(fù)完成后ESXi系統(tǒng)可以連上存儲(chǔ)，但是ESXi系統(tǒng)無法識(shí)別到原來的數(shù)據(jù)存儲(chǔ)和VMFS文件系統(tǒng)，管理員格式化VMFS后發(fā)現(xiàn)里面空無一物。

虛擬化數(shù)據(jù)恢復(fù)過程：
應(yīng)用構(gòu)架：FreeNAS（UFS2文件系統(tǒng)–> 一個(gè)大的稀疏模式的文件）–> ESXi (VMFS文件系統(tǒng)層) -> 單臺(tái)虛擬機(jī)的虛擬磁盤 (windows server-NTFS文件系統(tǒng)/FreeBSD-UFS2文件系統(tǒng))。
1、鏡像FreeNAS。基于鏡像文件分析整個(gè)存儲(chǔ)，發(fā)現(xiàn)一個(gè)名稱為iscsidata的大文件。根據(jù)UFS2文件系統(tǒng)的二進(jìn)制結(jié)構(gòu)定位到iscsidata文件的Inode數(shù)據(jù)，發(fā)現(xiàn)此文件被重建過，inode指針指向的數(shù)據(jù)量很少。FreeNAS層問題無法解決，無法進(jìn)入到下一步的VMFS層分析。
UFS2文件系統(tǒng)結(jié)構(gòu)：
塊大?。?6KB
Segment大?。?KB
柱面組大小：188176KB
UFS2文件系統(tǒng)一個(gè)數(shù)據(jù)指針占8字節(jié)，一個(gè)塊可以存儲(chǔ)2048個(gè)數(shù)據(jù)指針，一個(gè)二級(jí)指針塊可存儲(chǔ)2048×2048×16KB=64GB數(shù)據(jù)，一個(gè)三級(jí)指針塊則可存儲(chǔ)64GB*2048=128TB數(shù)據(jù)。如果能找到iscsidata文件的三級(jí)指針塊就能解決FreeNAS層問題，但是iscsidata文件被重建過，應(yīng)該有部分指針塊已被覆蓋。原始 iscsidata文件的inode和新建iscsidata文件的inode在一個(gè)位置，嘗試搜索沒有發(fā)現(xiàn)有用的inode。北亞企安數(shù)據(jù)恢復(fù)工程師編寫程序收集有用的指針塊。
2、由于iscsidata文件使用的稀疏模式，放寬收集條件后收集到了大量三級(jí)指針塊和二級(jí)指針塊。分析發(fā)現(xiàn)所有收集到的三級(jí)指針塊都是無效的，沒有發(fā)現(xiàn)iscsidata文件使用的三級(jí)指針塊，估計(jì)在新建iscsidata文件時(shí)被覆蓋。
3、分析收集到的二級(jí)指針塊，對(duì)有大量二級(jí)指針塊的指向數(shù)據(jù)進(jìn)行DUMP，得到大量DUMP的數(shù)據(jù)。
4、因?yàn)橹匦赂袷交^VMFS文件系統(tǒng)，原始UFS2文件系統(tǒng)的指針已經(jīng)丟失，VMFS元文件基本上不可用，無重要的參考信息。通過單臺(tái)虛擬機(jī)(windows(NTFS)和FreeBSD(UFS2)系統(tǒng)的文件系統(tǒng)結(jié)構(gòu))向上定位到VMFS層，再通過VMFS層定位到DUMP出的單個(gè)64GB文件。通過多次組合，最終這三臺(tái)重要虛擬機(jī)的虛擬磁盤數(shù)據(jù)已完全恢復(fù)。將恢復(fù)出的網(wǎng)頁數(shù)據(jù)和數(shù)據(jù)庫數(shù)據(jù)上傳到一新建的系統(tǒng)中，拉起應(yīng)用，數(shù)據(jù)完全無問題。

審核編輯 黃宇