虚拟机数据恢复—异常断电致ESXI存储失联？这份实战数据恢复案例请收好

服务器存储数据恢复环境：
一台服务器上部署esxi虚拟化平台。上层采用通过FreeNAS构建的iSCSI方式FCSAN功能，FreeNAS层采用UFS2文件系统。
esxi虚拟化系统有3台虚拟机。其中一台虚拟机采用FreeBSD系统，存储的是数据库文件；另外一台台虚拟机存储网站数据；第三台虚拟机安装的Windows server操作系统，存储的是数据库数据和工作程序代码。

服务器存储故障：
机房供电不稳定导致设备非正常关机，重启后发现ESXI系统无法连接存储。服务器管理员对服务器进行故障排查，发现FreeNAS的UFS2文件系统出现故障。服务器管理员对文件系统进行fsck修复并将ESXI系统连接到服务器存储上。
管理员对上层文件系统及数据进行检查，发现原服务器上的文件系统和存储数据都无法识别，于是对vmfs进行了格式化等操作，导致数据丢失。

服务器存储数据恢复过程：
1、对FreeNAS层进行镜像。镜像完成后基于镜像文件对底层数据分析。北亚企安数据恢复工程师在存储内发现了一个文件名称为iscsidata的大文件。继续分析文件系统结构，根据UFS2文件系统的存储结构定位到这个大文件的iNode数据查看。查看后发现该文件此前被重建过，iNode指针所指向的数据量非常少。在这种情况下，进入到vmfs文件系统层进行数据分析和恢复需要先分析出FreeNAS层面的必要信息和数据。服务器数据恢复工程师通过分析获取到相关信息：UFS2文件系统块大小、segment大小、柱面组大小、每数据指针大小、每个块可容纳数据指针数量。
根据上述信息计算出一个二级指针块可存储的数据量以及一个三级指针块可存储的数据量。
2、服务器数据恢复工程师计划通过iscsidata文件的三级指针块来恢复FreeNAS层的数据。由于该文件曾经被重建，部分指针被重建的数据所覆盖，原文件的iNode和重建后的文件iNode所在的位置完全一致，也没有其他可用于数据恢复iNode数据。北亚企安服务器数据恢复工程师根据实际数据情况编写小程序收集有用的指针块，收集到了大量二级指针块和三级指针块。
3、分析三级指针块，发现这些指针块都是无效的。继续分析二级指针块，对有大量的二级指针块的指向数据进行DUMP，然后再从磁盘中的数据定位到二级指针。通过这种方式得到大量DUMP的数据。
4、服务器数据恢复工程师运用以前研究出来的NTFS和UFS2文件系统结构定位到vmfs层，继而定位到DUMP出的单个64GB文件，进行数据组合。
5、经过复杂的查询和重组操作，最终成功恢复出了3台虚拟机及虚拟机内的全部数据。
6、服务器数据恢复工程师将恢复出来的数据上传到新构建出来的系统中进行验证。经过用户方管理员验证，确认所有数据恢复成功。

审核编辑 黄宇