FreeNAS+ESXi5数据恢复案例

2020-06-17 11:05 dz002

【单位名称】

苏州某网络公司

【物理与逻辑存储】

此公司使用一种廉价的存储模式，用iSCSI方式来达到FC SAN的功能。物理存储构架在一台DELL服务器上，使用FreeNAS来

做iSCS，然后使用两台DELL服务器做ESXi5.0的虚拟化系统。FreeNAS 层为UFS2文件系统，整个存储建一个稀疏模式的文件，

挂给ESXi5.0 系统。ESXi系统内跑有5台虚拟机，其中有三台较为重要：

1.一台windows2003系统虚拟机是此公司在当地的门户网站。使用ASP.net和PHP混合构架，使用数据库为SqlServer2005和

mysql5.1。

2.一台为FreeBSD 系统，跑有Mysql数据库，供其它多台虚拟机使用。

3.一台为windows2003服务器，存储此公司新开发的程序代码。

【故障现象工程师描述】

在一次存储突然断电之后，ESXi系统连不上存储，管理员在FreeNAS中发现UFS2文件系统出现问题，然后管理员用fsck 修复

好了文件系统，此时 ESXi，系统已能连上存储，但发现ESXi系统未能识别到原来的数据存储和VMFS文件系统，管理员格式化

VMFS后，发现里面数据已清空。

【客户故障处理经过】

客户找到了几家数据恢复公司，耗时一个星期，仍无结果。事情太过于复杂。后经某运维公司介绍，客户联系上了大众数据恢

复中心。在进行详细沟通后，数据恢复中心制定了一个详细的数据恢复方案，经客户认可后，数据恢复中心的工程师直接进行

数据恢复。

【数据修复过程】

1.镜像FreeNAS层

2.分析整个存储，发现就一个900多GB的大文件，文件名： iscsidata。通过UFS2文件系统的二进制结构，定位到 iscsidata 文

件的Inode数据，发现此文件被重建过，inode指针指向的数据量很少。

3.进一步分析FreeNAS层，收集UFS2文件系统的重要结构：块大小：16KB，Segment 大小：2KB，柱面组大小：188176 KB

。UFS2一个数据指针占 8字节，一个块可存储 2048个数据指针。那么一个二级指针块则可存储：2048*2048*16KB= 64GB 

数据。一个三级指针块则可存储 64GB*2048= 128TB 数据

4.为了寻找iscsidata文件的三级指针块，现场写程序收集有用的指针块：由于iscsidata文件是使用稀疏模式，收集条件只能放宽

，收集到了大量三级指针块和二级指针块。对收集到的所有三级指针块进行分析，都是无效的，无iscsidata文件使用的三级指针

块，估计在新建iscsidata文件时被新的覆盖（新的iscsidata文件在挂载到ESXi5.0后有个VMFS格式化过程，而 ESXi5.0 使用GPT

分区，GPT分区会在磁盘写入冗余的GPT头和分区表信息数据，这样会使用iscsidata文件的三级指针块）。现只能分析收集到的

二级指针块，对有大量的二级指针块的指向数据进行DUMP，然后再从磁盘中的数据定位到二级指针。这样得到大量DUMP的数据。

5.分析 VMFS 层：重格式化过VMFS，和原始UFS2的指针已丢失，造成VMFS元文件已基本上不可用，无重要的参考信息，所幸

虚拟机都无快照，仍可恢复。通过单台虚拟机层(windows(NTFS)和 FreeBSD(UFS2)系统的文件系统结构)，向上定位到VMFS层，

在通过VMFS层定位到DUMP出的单个64GB 文件，通过多次组合，这三台重要的虚拟机的虚拟磁盘都已完全恢复。

6.客户将恢复出的网页数据和数据库数据上传到一新构建的系统中，拉起应用，数据完全无问题。

【数据恢复结果】

耗时4天，数据100% 恢复成功。

【数据恢复服务承诺】

1.免费检测

2.与客户签订保密协议，对客户的数据严格保密

3.数据恢复不成功不收费

4.专业工程师提供服务

5.数据恢复前报价，客户确认后工程师开始数据修复

6.整个恢复过程不会对客户的原盘有任何的写操作，以确保原盘的数据完全