对storage的独享操作导致存储VMFS卷损坏的数据恢复案例
最新动态来源：本站原创点击数：133更新时间：2024/3/18
服务器数据恢复环境&故障：
某公司的信息管理平台，通过3台虚拟机共享了一台存储设备供企业内部使用，存储设备中存放了公司内部重要的数据文件。
由于业务增长的需要，管理员又在这个存储网络上连接了一台Windows server服务器，结果这台存储变得不可用了。
管理员对该存储进行故障排查时发现存储中虚拟磁盘丢失，分区表丢失。重启该存储设备后故障依旧。
由于存储中的数据十分重要，没有备份。管理员为了安全起见，联系北亚企安数据恢复中心寻求帮助。
经过硬件工程师的检测，没有发现存储存在硬件故障。存储中的硬盘经过硬件工程师的检测后也没有发现任何物理故障，都可以正常读取。基本上可以排除故障是由于硬件导致的。
服务器故障分析：
1、将存储中所有磁盘编号后取出，以只读方式将所有磁盘进行扇区级别全盘镜像，镜像完成后将所有磁盘按照编号还原到故障存储中，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。
2、基于镜像文件分析所有磁盘中底层数据，经过分析发现分区表被清零，有55AA的有效结束标志，有硬盘ID标志。现在基本上可以确定导致存储故障的原因是新连接的Windows server服务器对storage的独享操作导致了整个存储的VMFS卷损坏。
3、继续分析底层数据发现存储中有一个没有数据的NTFS卷。该卷的BITMAP内容大小与存储的全部空间大小相差无几。在卷的几个不同位置都有部分占用，但所有占用的空间加在一起只有100MB左右。
4、和用户沟通后，得知存储中有两个VMFS分区：第一个分区占80%，第二个分区是第一个分区的扩展分区，ntfs分区对源数据进行破坏时并没有涉及到第二个分区。所以需要恢复的主要是第一个分区上的数据。
服务器数据恢复过程：
1、直接连接存储的两个VMFS分区，按照分区的组织方式直接提取出vmdk文件和配置文件。
2、提取出文件后通过nfs回迁数据对数据恢复结果进行自检。数据恢复工程师自检无误后通知用户方来现场验证数据恢复结果，验证没有问题后移交数据。
服务器数据恢复结论：
这个案例存储中数据丢失的原因就是光纤环境互斥不当导致卷在Windows server系统下重新做了分区，并且执行了格式化NTFS和删除分区的操作。由于esx vmfs的互斥是独立于硬件层面，而单独依赖操作系统的，所以北亚企安数据恢复工程师在这里提醒大家：在存储网络中接入其他服务器时要注意先给存储分配权限，以免导致数据丢失。