您所在的位置:首页 > 成功案例 > 虚拟化数据恢复

VMware虚拟化卷崩溃数据恢复成功案例

最新动态来源:本站原创点击数:582更新时间:2021/2/19

本次北亚小编分享的案例为VMware虚拟化,VMFS5文件系统,共3块盘,容量分别为1T、2T、2.5T,3块盘在虚拟化层面做的LVM。因用户误操作将第一个PV重装系统,导致原文件系统被破坏,虚拟化卷崩溃。

【数据恢复过程】
因第一个PV重装系统会产生新的分区信息和新的元文件信息,对原VMFS文件系统元文件有部分覆盖,需要分析找到将原文件系统残留的元文件信息并取出。
经分析检测,.pbc.sf元文件还完整存在,.fdc.sf元文件只有少量残留,.sbc.sf元文件全部丢失。此种情况可根据残留的元文件信息恢复部分虚拟磁盘,扫描其余虚拟磁盘头部,对其余虚拟磁盘进行拼接。

1、重组LVM;
a)因第一个PV上LVM信息丢失,所以分析另外两个盘上的LVM信息,分析和计算出第一个PV上的原分区的起始位置和大小等信息。图片一:
b)根据残留的LVM和分析后的信息将原LVM进行重组,因信息被破坏,重组后仍无法直接解析文件系统。

2、手工查找残留的元信息;
a)根据各个元文件entry标志,提取所有原文件系统残留的元文件,恢复工作的工作量,取决于元文件的完整度。图片二:
b)经过分析和提取,pbc元文件完整,fdc元文件有部分残留。

3、根据pbc元文件中所有间接指针块提取数据;
a)提取pbc元文件中所有类型为3的子块,意在找到虚拟磁盘最上层指针,提取完整虚拟机。
b)因客户虚拟磁盘没有很大的,因此每个间接指针块提取出来的即为完整虚拟磁盘。
c)解析并提取所有类型为3的子块。图片三:

4、根据fdc元文件中残留节点提取数据;
a)扫描fdc元文件中残留的有效节点。
b)因pbc元文件完整,所以直接解析节点,提取完整虚拟机。

5、虚拟机拼接;
a)提取pbc元文件中所有类型为1的指针块。
b)筛出掉已提取的子块,对其余部分进行进一步恢复。
c)扫描所有子块的第一条指针,判断是否为磁盘头部,并记录位置。图片四:
d)根据文件系统结构和子块在pbc中的连续性拼接虚拟机。

6、挂载虚拟磁盘;
a)校验提取出来虚拟磁盘的文件系统正确性。
b)将虚拟机磁盘通过NFS挂载到虚拟化平台,重新启动虚拟机。

【数据恢复结果】
根据pbc和fdc元文件残留信息提取17个完整虚拟磁盘。虚拟磁盘拼接共27个,其中15个磁盘完整可尝试挂载,12个磁盘不完整,目录结构正常,可提取其中文件至恢复服务器,经客户验证数据可用,本次数据恢复成功。

北京北亚数据恢复中心:
4006-505-646
官方网址:www.frombyte.com
地址:北京市海淀区温泉镇中关村创客小镇16号221