虚拟化数据恢复—VMware ESX SERVER无法连接STORAGE的数据恢复案例

虚拟化数据恢复环境&故障：
某单位信息管理平台，数台VMware ESX SERVER共享一台某品牌DS4100存储。
vc报告虚拟磁盘丢失，管理员ssh到ESX中执行fdisk -l查看磁盘，发现STORAGE中的分区表不见了。重启所有设备后，ESX SERVER均无法连接到DS4100存储中的STORAGE。
和管理员沟通后，了解到这个存储网络中连接过一台windows server操作系统服务器，具体情况不详。北亚企安数据恢复工程师推测故障发生的原因是那台windows server服务器对DS4100存储中STORAGE的独享操作破坏了vmfs卷。
分析存储后发现分区表清０，有55aa有效结束标志，有硬盘ID标志。从前向后查看，发现一个NTFS卷，似乎没有数据写进去，像一个刚格式化的卷。分析这个NTFS卷的BITMAP，发现在几个位置占用了部分空间，但总占用空间不超过100M。分析VMFS卷，发现有2个VMFS分区，第2个是第1个的extend。
因NTFS分区并未写数据到第二个VMFS分区里，所以重点在于第一个VMFS分区。分析第一个VMFS，发现卷头结构丢失，但是一级索引、二级索引均存在，NTFS覆盖的数据区正好是某个虚拟机的临时内存镜像，即使损坏也无大的影响。

虚拟化数据恢复过程：
1、将整个STORAGE做完整镜像备份。基于镜像文件分析底层数据。
2、连接两个VMFS分区，按照VMFS分区组织方式提取所有VMDK及配置文件。
3、通过nfs直接迁移回ESX SERVER。
本案例中已对故障存储做了安全备份，修复的同时可以直接重建第一个VMFS分区的卷头、索引列表、分区表等信息，直接附加在ESX SERVER环境。
经过数天努力，成功恢复数据。

Tips：
本案例属于存储网络环境互斥不当导致的问题。这个卷在WINDOWS SERVER系统上做了重新分区，并格式化成了NTFS，之后又对分区做了删除的操作。因ESX VMFS的互斥不依赖于硬件，只依赖于操作系统驱动层，所以其他服务器接入到存储网络时一定要小心，提前考虑好存储的分配权限。


审核编辑 黄宇