服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境&故障：
一臺(tái)配有32塊硬盤(pán)的服務(wù)器在運(yùn)行過(guò)程中突然崩潰不可用。經(jīng)過(guò)初步檢測(cè)，基本上確定服務(wù)器硬件不存在物理故障。管理員重啟服務(wù)器后問(wèn)題依舊。需要恢復(fù)該服務(wù)器中的數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
1、將服務(wù)器中硬盤(pán)做好標(biāo)記后取出，硬件工程師檢測(cè)后沒(méi)有發(fā)現(xiàn)有硬盤(pán)存在硬件故障，都可以正常讀取。使用專業(yè)工具對(duì)所有硬盤(pán)進(jìn)行扇區(qū)級(jí)全盤(pán)鏡像。鏡像完成后按照原樣將所有硬盤(pán)還原到原服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤(pán)底層數(shù)據(jù)。通過(guò)分析獲取到和故障服務(wù)器有關(guān)的信息：服務(wù)器通過(guò)zfs文件系統(tǒng)管理所有磁盤(pán)。服務(wù)器中的32塊硬盤(pán)共創(chuàng)建了4組raidz陣列。兩組raidz陣列硬盤(pán)離線后都啟用了熱備盤(pán)，熱備盤(pán)上線后這兩組raidz陣列中又有硬盤(pán)離線。
3、ZFS管理的存儲(chǔ)池與常規(guī)存儲(chǔ)池有所不同。常規(guī)RAID陣列存儲(chǔ)數(shù)據(jù)，按照特定的規(guī)則組建池，不關(guān)心文件在子設(shè)備上的位置。ZFS存儲(chǔ)數(shù)據(jù)會(huì)為每次寫(xiě)入的數(shù)據(jù)分配適當(dāng)大小的空間，并計(jì)算出指向子設(shè)備的數(shù)據(jù)指針。ZFS的這種特性導(dǎo)致RAIDZ陣列在缺盤(pán)時(shí)無(wú)法直接通過(guò)校驗(yàn)得到數(shù)據(jù)，而是需要將整個(gè)ZPOOL作為整體進(jìn)行解析。
4、手工截取事務(wù)塊數(shù)據(jù)，數(shù)據(jù)恢復(fù)工程師編寫(xiě)程序獲取最大事務(wù)號(hào)入口。
獲取文件系統(tǒng)入口：

北亞企安數(shù)據(jù)恢復(fù)—zfs文件系統(tǒng)數(shù)據(jù)恢復(fù)

5、獲取到文件系統(tǒng)入口后，北亞企安數(shù)據(jù)恢復(fù)工程師編寫(xiě)數(shù)據(jù)指針解析程序解析地址。
解析數(shù)據(jù)指針：

北亞企安數(shù)據(jù)恢復(fù)—zfs文件系統(tǒng)數(shù)據(jù)恢復(fù)

6、獲取到文件系統(tǒng)入口點(diǎn)在各磁盤(pán)分布情況后，北亞企安數(shù)據(jù)恢復(fù)工程師手工截取并分析文件系統(tǒng)內(nèi)部結(jié)構(gòu)。由于入口點(diǎn)所在的磁盤(pán)組無(wú)缺失盤(pán)，可直接提取數(shù)據(jù)。根據(jù)ZFS文件系統(tǒng)的數(shù)據(jù)存儲(chǔ)結(jié)構(gòu)順利找到映射的LUN名稱，進(jìn)而找到其節(jié)點(diǎn)。
7、分析后發(fā)現(xiàn)在本案例中的ZFS版本與開(kāi)源版本有較大差別，無(wú)法使用已開(kāi)發(fā)的解析程序進(jìn)行解析。于是數(shù)據(jù)恢復(fù)工程師重新編寫(xiě)了數(shù)據(jù)提取程序。

北亞企安數(shù)據(jù)恢復(fù)—zfs文件系統(tǒng)數(shù)據(jù)恢復(fù)

8、由于磁盤(pán)組內(nèi)缺盤(pán)個(gè)數(shù)較多，每個(gè)IO流都需要通過(guò)校驗(yàn)得到，恢復(fù)數(shù)據(jù)的速度極為緩慢。與用戶方溝通后得知，此ZVOL卷映射到XenServer作為存儲(chǔ)設(shè)備。用戶方所需的文件在其中一個(gè)vhd內(nèi)。提取ZVOL卷頭部信息，按照XenStore卷存儲(chǔ)結(jié)構(gòu)進(jìn)行分析，發(fā)現(xiàn)該vhd在整個(gè)卷的尾部，計(jì)算得到其起始位置后從此位置開(kāi)始提取數(shù)據(jù)。
9、Vhd提取完成后，驗(yàn)證其內(nèi)部的壓縮包、圖片、視頻等文件，均可正常打開(kāi)。
10、用戶方驗(yàn)證數(shù)據(jù)后，確定文件數(shù)量與系統(tǒng)自動(dòng)記錄的文件個(gè)數(shù)相差無(wú)幾。出現(xiàn)文件數(shù)量出入的原因應(yīng)該是這些沒(méi)有恢復(fù)出來(lái)的文件是最新生成的，還未存放到磁盤(pán)。驗(yàn)證文件的可用性，文件全部可正常打開(kāi)。用戶方認(rèn)可數(shù)據(jù)恢復(fù)結(jié)果。

審核編輯 黃宇