【服務(wù)器數(shù)據(jù)恢復(fù)】VMware ESX SERVER數(shù)據(jù)恢復(fù)案例

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
某公司信息管理平臺(tái)，若干臺(tái)VMware虛擬機(jī)共享一臺(tái)存儲(chǔ)設(shè)備，供內(nèi)部使用，該存儲(chǔ)設(shè)備中存放了公司大量重要數(shù)據(jù)。

服務(wù)器故障：
該存儲(chǔ)設(shè)備運(yùn)行時(shí)，管理員在存儲(chǔ)網(wǎng)絡(luò)中連接了一臺(tái)Windows服務(wù)器，這臺(tái)存儲(chǔ)設(shè)備突然無法正常使用。管理員對該存儲(chǔ)設(shè)備進(jìn)行初步檢查后發(fā)現(xiàn)該存儲(chǔ)設(shè)備中的虛擬磁盤丟失，分區(qū)表丟失，重啟該存儲(chǔ)設(shè)備后故障依舊。由于該存儲(chǔ)設(shè)備中的數(shù)據(jù)十分重要且沒有備份，管理員不敢擅自進(jìn)行操作。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、通過管理員的描述，數(shù)據(jù)恢復(fù)工程師初步判斷該存儲(chǔ)設(shè)備崩潰并非是硬件故障導(dǎo)致的。按照正規(guī)數(shù)據(jù)恢復(fù)流程和謹(jǐn)慎考慮，硬件工程師還是對故障存儲(chǔ)設(shè)備中的所有硬盤進(jìn)行了物理故障檢測，檢測結(jié)果和初步判斷一致：所有硬盤都可以正常讀取，沒有發(fā)現(xiàn)任何物理故障。
2、將故障存儲(chǔ)中所有硬盤編號后取出，以只讀方式將所有硬盤完整鏡像備份，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始數(shù)據(jù)造成二次破壞。
3、經(jīng)過初步分析，數(shù)據(jù)恢復(fù)工程師基本上可以確定該存儲(chǔ)設(shè)備崩潰的原因就是管理員連接的那臺(tái)Windows服務(wù)器對故障存儲(chǔ)的storage的獨(dú)享操作破壞了存儲(chǔ)的VMFS卷。
4、對存儲(chǔ)的底層數(shù)據(jù)進(jìn)行分析后，數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)：分區(qū)表被清零，但是分區(qū)表有55AA的有效結(jié)束標(biāo)志，有硬盤ID標(biāo)志。
5、繼續(xù)分析發(fā)現(xiàn)存儲(chǔ)中有一個(gè)沒有任何數(shù)據(jù)的NTFS卷，繼續(xù)分析該卷的BITMAP后發(fā)現(xiàn)其大小與存儲(chǔ)的全部空間大小相差無幾，在卷的幾個(gè)不同位置都有部分的占用，但所有占用的總空間很小。
6、經(jīng)過和管理員溝通和對底層數(shù)據(jù)的分析，發(fā)現(xiàn)故障存儲(chǔ)實(shí)際上有兩個(gè)分區(qū)，第一個(gè)分區(qū)占總空間大小的80%，第二個(gè)分區(qū)是第一個(gè)分區(qū)的擴(kuò)展分區(qū)，在ntfs分區(qū)對數(shù)據(jù)進(jìn)行破壞時(shí)并沒有涉及到第二個(gè)分區(qū)。所以數(shù)據(jù)恢復(fù)的關(guān)鍵在第一個(gè)分區(qū)，經(jīng)過分析與查詢發(fā)現(xiàn)第一個(gè)分區(qū)的重要信息都還在。
7、連接故障存儲(chǔ)的兩個(gè)VMFS分區(qū)，按照分區(qū)的組織方式直接提取vmdk文件和配置文件。
8、提取出文件后通過nfs回遷數(shù)據(jù)的方式進(jìn)行數(shù)據(jù)恢復(fù)?；謴?fù)完成后對結(jié)果進(jìn)行校檢，檢測無誤后交由用戶方工程師來現(xiàn)場進(jìn)行結(jié)果驗(yàn)證，驗(yàn)證沒有問題后移交數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)總結(jié)：
這個(gè)數(shù)據(jù)丟失的原因十分簡單，就是因?yàn)楣饫w環(huán)境互斥不當(dāng)導(dǎo)致了卷在Windows系統(tǒng)下重新做了分區(qū)并且執(zhí)行了NTFS格式化和刪除分區(qū)的操作。由于esx vmfs的互斥是獨(dú)立于硬件層面而只依賴于操作系統(tǒng)驅(qū)動(dòng)層的，所以將存儲(chǔ)接入其他服務(wù)器時(shí)一定要注意存儲(chǔ)的分配權(quán)限，避免造成數(shù)據(jù)丟失。

審核編輯黃宇